ISA學(xué)習(xí)筆記更新附個(gè)人考試心得

說(shuō)明：黃色背景需要特別關(guān)注，紅色字體非常重要，紅黃在一起的話，呵呵，大家就自己考慮吧，呵呵這個(gè)筆記是我在得知考試分?jǐn)?shù)后進(jìn)行整理的，應(yīng)該還是具有點(diǎn)參考價(jià)值的，整理時(shí)間2013年2月6日個(gè)人考試心得（10月1號(hào)開(kāi)始學(xué)習(xí)，12月8號(hào)參加考試，2013年2月1號(hào)成績(jī)出來(lái)，得分582分）：1、有可能的話最好參加相關(guān)的培訓(xùn)， 5天的培訓(xùn)不會(huì)給你多少實(shí)質(zhì)的提高， 但最關(guān)鍵的是能給你一個(gè)學(xué)習(xí)的思路；而且在培訓(xùn)的時(shí)候，有不懂的問(wèn)題可以問(wèn)老師；2、如果你不是做 IT出身的，最好惡補(bǔ)一下IT知識(shí)，CISA對(duì)IT方面的知識(shí)還是有些要求的；3、對(duì)于IT出身的人，學(xué)CISA特別要注意：要以審計(jì)師的視角來(lái)學(xué)習(xí)以及看待題目，組織內(nèi)部的項(xiàng)目審計(jì)師的角色4、審計(jì)師是不具體解決問(wèn)題的，但是要發(fā)現(xiàn)問(wèn)題；5、最好能聽(tīng)兩次培訓(xùn)，現(xiàn)在的培訓(xùn)只要繳費(fèi)后，可以不限次數(shù)重聽(tīng)；6、培訓(xùn)前先把書(shū)看一遍，要每個(gè)字都要看，不論能不能看懂，至少能有個(gè)映像；7、不要急于做題目，我的做法是：8、先把書(shū)看一遍（我花了3周左右的時(shí)間）——參加培訓(xùn)（做好筆記）——再把書(shū)看一遍（我花了將近2周左右的時(shí)間）——開(kāi)始做題目——參加培訓(xùn)（補(bǔ)充上次培訓(xùn)的筆記）——把書(shū)再看一遍（最好在一周左右的時(shí)間，這個(gè)我沒(méi)做到）——開(kāi)始做題目，大量的做(我大概做了4000道左右)——參加考試（我拿到582分，自己覺(jué)得比較滿意）9、基本上每天花3到4個(gè)小時(shí)的時(shí)間就可以了，考試前兩天，有條件的話最好在家里整理和復(fù)習(xí)一下自己所學(xué)的；10、 重視QQ群的動(dòng)態(tài)，群里面很多朋友和前輩，可以學(xué)到很多的；11、最關(guān)鍵的是，一定要參加考前輔導(dǎo)，這個(gè)是免費(fèi)的，但是內(nèi)容卻是非常關(guān)鍵的?。?！第一章信息系統(tǒng)審計(jì)過(guò)程IS審計(jì)是基于風(fēng)險(xiǎn)的審計(jì)；保持審計(jì)獨(dú)立性和勝任能力,確保審計(jì)小組所實(shí)施完成的審計(jì)任務(wù)能滿足審計(jì)職能的目標(biāo)要求風(fēng)險(xiǎn)分析是審計(jì)計(jì)劃的一部分，幫助IS審計(jì)師識(shí)別風(fēng)險(xiǎn)和脆弱性并確定降低風(fēng)險(xiǎn)所需的控制要以審計(jì)師的視角來(lái)學(xué)習(xí)以及看待題目，組織內(nèi)部的項(xiàng)目審計(jì)師的角色；第一方審計(jì)：自查——報(bào)告給自己高層第二方審計(jì)：甲方審乙方第三方審計(jì)：外審——報(bào)告給公眾或相關(guān)機(jī)構(gòu)*按照IT審計(jì)標(biāo)準(zhǔn)制定并實(shí)施基于風(fēng)險(xiǎn)的 IT審計(jì)戰(zhàn)略內(nèi)審首先需要建立審計(jì)章程；外審首先需要合同以及委托書(shū)；審計(jì)章程或委托書(shū)應(yīng)在組織內(nèi)部適當(dāng)?shù)膶哟蔚玫酵夂屯ㄟ^(guò)，一旦創(chuàng)立，就只有在非常必要、并經(jīng)過(guò)充分的論證后才允許變更審計(jì)章程；審計(jì)章程涵蓋整個(gè)范圍的審計(jì)活動(dòng)；合同側(cè)重于特定的審計(jì)任務(wù)；信息系統(tǒng)審計(jì)的最重要的資源是：審計(jì)師IS審計(jì)師應(yīng)有合格的職業(yè)能力，具備進(jìn)行審計(jì)工作的相應(yīng)知識(shí)；IS審計(jì)師應(yīng)持續(xù)保持職業(yè)教育和培訓(xùn)，保持良好的職業(yè)能力；在制定審計(jì)計(jì)劃時(shí)，要通過(guò)風(fēng)險(xiǎn)評(píng)估，確認(rèn)高風(fēng)險(xiǎn)區(qū)域，找到審計(jì)的重點(diǎn)范圍，合理分配審計(jì)資源；信息系統(tǒng)審計(jì)師常常關(guān)注高風(fēng)險(xiǎn)的問(wèn)題，如敏感和重要信息的機(jī)密性、可用性、完整性以及生成、存儲(chǔ)和處理這些信息的系統(tǒng)及流程等。在檢查這類風(fēng)險(xiǎn)時(shí)，信息系統(tǒng)審計(jì)師常常對(duì)組織所使用的風(fēng)險(xiǎn)管理過(guò)程的有效性進(jìn)行評(píng)估。風(fēng)險(xiǎn)管理首要任務(wù)是識(shí)別出敏感或關(guān)鍵的信息資產(chǎn)；然后實(shí)施風(fēng)險(xiǎn)評(píng)估來(lái)識(shí)別威脅并確定其發(fā)生頻率、所導(dǎo)致的影響以及將風(fēng)險(xiǎn)降低至管理層可接受水平的相應(yīng)安全措施；為保持其有效性，風(fēng)險(xiǎn)評(píng)估過(guò)程應(yīng)當(dāng)在組織中持續(xù)進(jìn)行，以致力于及時(shí)發(fā)現(xiàn)和評(píng)估新出現(xiàn)的風(fēng)險(xiǎn)。內(nèi)部控制通常由能夠降低組織風(fēng)險(xiǎn)的政策、規(guī)程、實(shí)務(wù)和組織結(jié)構(gòu)組成；內(nèi)部控制的設(shè)計(jì)是為管理層提供風(fēng)險(xiǎn)事件能夠被預(yù)防、檢測(cè)和糾正，業(yè)務(wù)目標(biāo)能夠達(dá)成的合理保證。實(shí)施有效的IS審計(jì)的第一步是審計(jì)計(jì)劃；*長(zhǎng)期審計(jì)計(jì)劃與企業(yè)的業(yè)務(wù)與發(fā)展有關(guān)，一般為 3到5年的期間；每年都需要對(duì)長(zhǎng)、短期審計(jì)計(jì)劃進(jìn)行分析；無(wú)論長(zhǎng)期短期規(guī)劃每年都必須分析、調(diào)整；在環(huán)境有重大變化時(shí)也必須分析調(diào)整證據(jù)的優(yōu)先級(jí)：審計(jì)師自己收集>第三方提供>被審計(jì)方提供（銀行函證例外）制定審計(jì)計(jì)劃的步驟：、了解組織業(yè)務(wù)使命、目標(biāo)、目的和流程的了解，包括信息和處理要求：對(duì)組織關(guān)鍵設(shè)施現(xiàn)場(chǎng)巡視；收集閱讀組織背景資料；檢查長(zhǎng)期戰(zhàn)略計(jì)劃；與管理人員會(huì)談；審閱以前的餓審計(jì)報(bào)告；、找出規(guī)定內(nèi)容，如：政策、標(biāo)準(zhǔn)和作業(yè)指導(dǎo)書(shū)、程序和組織結(jié)構(gòu)；、評(píng)價(jià)管理層實(shí)施的風(fēng)險(xiǎn)評(píng)估和隱私保護(hù)影響分析；、實(shí)施風(fēng)險(xiǎn)分析，找出高風(fēng)險(xiǎn)區(qū)域—重點(diǎn)檢查對(duì)象；、執(zhí)行內(nèi)部控制檢查（針對(duì)風(fēng)險(xiǎn)檢查）；、確定審計(jì)范圍和審計(jì)目標(biāo)；、確定審計(jì)方法或?qū)徲?jì)戰(zhàn)略；、為審計(jì)任務(wù)和其后勤支援分配人力資源需要遵守相關(guān)的法律法規(guī)：被審計(jì)方、審計(jì)師；法律法規(guī)的合規(guī)性：識(shí)別政府或相關(guān)外部要求的法律法規(guī)——記錄相關(guān)法律法規(guī)——評(píng)估被審計(jì)方在制定計(jì)劃或設(shè)定策略時(shí)是否考慮相關(guān)的法律法規(guī)——制度的執(zhí)行流程以及保障（文檔及程序）——執(zhí)行結(jié)果信息系統(tǒng)審計(jì)是指審計(jì)內(nèi)容中包含了對(duì)自動(dòng)化信息處理系統(tǒng)、相關(guān)手工流程及兩者間接口進(jìn)行全部或部分檢查及評(píng)價(jià)的任何審計(jì)審計(jì)程序包括確定審計(jì)范圍、說(shuō)明審計(jì)目標(biāo)、找出審計(jì)標(biāo)準(zhǔn)、執(zhí)行審計(jì)步驟、檢查和評(píng)估證據(jù)、形成審計(jì)結(jié)論和意見(jiàn)、與關(guān)鍵流程所有人討論后報(bào)告管理層審計(jì)方法是指：為實(shí)現(xiàn)預(yù)定的審計(jì)目標(biāo)而設(shè)計(jì)的一系列書(shū)面審計(jì)程序，其內(nèi)容包括審計(jì)范圍、審計(jì)目標(biāo)和審計(jì)步驟；審計(jì)方法應(yīng)當(dāng)由審計(jì)管理層制定和批準(zhǔn)并保持一致性。ISACA信息系統(tǒng)審計(jì)準(zhǔn)則：職業(yè)道德規(guī)范：必須遵守信息系統(tǒng)審計(jì)標(biāo)準(zhǔn)：強(qiáng)制必須遵守，不可偏離信息系統(tǒng)審計(jì)指南：在有合理解釋的前提下可以調(diào)整和偏離信息系統(tǒng)審計(jì)工具和技術(shù)：根據(jù)實(shí)際情況作出自己的職業(yè)判斷審計(jì)計(jì)劃步驟：、計(jì)劃審計(jì)綱要；、以書(shū)面形式記錄一份基于風(fēng)險(xiǎn)評(píng)估的審計(jì)方法；、以書(shū)面形式記錄一份審計(jì)計(jì)劃書(shū)，詳述審計(jì)目標(biāo)、性質(zhì)、時(shí)間、范圍以及所需相關(guān)資源；、以書(shū)面形式起草審計(jì)計(jì)劃和審計(jì)程序信息系統(tǒng)審計(jì)人員應(yīng)該得到監(jiān)督，合理保證其審計(jì)目標(biāo)的完成，并且符合審計(jì)職業(yè)標(biāo)準(zhǔn)；審計(jì)工作中收集證據(jù)的工作量最大；通過(guò)證據(jù)評(píng)估結(jié)論最困難；信息系統(tǒng)審計(jì)師必須擁有足夠的、恰當(dāng)?shù)膶徲?jì)證據(jù)來(lái)解釋報(bào)告中的審計(jì)結(jié)果；在報(bào)告審計(jì)發(fā)現(xiàn)和建議后，審計(jì)師必須持續(xù)跟進(jìn)后續(xù)審計(jì)結(jié)果；審計(jì)最終目的：A&A(Audit&Assurance)審計(jì)及保證審計(jì)實(shí)質(zhì)性（重要性）==閥值審計(jì)實(shí)質(zhì)性（重要性）越低，需要投入的資源越大；審計(jì)實(shí)質(zhì)性（重要性）越高，需要投入的資源越??；ITAF（信息技術(shù)保證框架）包括：、一般準(zhǔn)則：通用準(zhǔn)則，所有審計(jì)都須遵守；、執(zhí)行準(zhǔn)則：在實(shí)施審計(jì)中的要求、報(bào)告準(zhǔn)則（績(jī)效準(zhǔn)則）、指南、工具和技術(shù)目標(biāo)->風(fēng)險(xiǎn)->控制->審計(jì)風(fēng)險(xiǎn)是特定的威脅，利用資產(chǎn)的脆弱性從而對(duì)組織造成的一種潛在的損害；它通過(guò)使用資產(chǎn)和價(jià)值損失的概念把風(fēng)險(xiǎn)放在了組織的業(yè)務(wù)環(huán)境中。業(yè)務(wù)風(fēng)險(xiǎn)是指那些可能對(duì)資產(chǎn)、流程、具體業(yè)務(wù)或組織目標(biāo)造成負(fù)面影響的威脅。風(fēng)險(xiǎn)的三個(gè)要素：威脅、脆弱性、資產(chǎn)（價(jià)值）；其中應(yīng)該首先評(píng)估資產(chǎn)；以年為單位評(píng)估風(fēng)險(xiǎn)——基于成本效益原則（財(cái)務(wù)以年結(jié)算）風(fēng)險(xiǎn)評(píng)估：識(shí)別風(fēng)險(xiǎn)風(fēng)險(xiǎn)管理：消滅、控制風(fēng)險(xiǎn)風(fēng)險(xiǎn)評(píng)估首先識(shí)別敏感或關(guān)鍵信息資產(chǎn)；風(fēng)險(xiǎn)評(píng)估的最終目標(biāo)：將風(fēng)險(xiǎn)降低至管理層可接受水平的相應(yīng)安全措施；高風(fēng)險(xiǎn)==高發(fā)展、高收益風(fēng)險(xiǎn)控制（風(fēng)險(xiǎn)消減的措施）：、預(yù)防：避免或減少風(fēng)險(xiǎn)事件發(fā)生的可能性；、檢查：發(fā)現(xiàn)不良事件的發(fā)生；、糾正：減小影響向別的組織轉(zhuǎn)移風(fēng)險(xiǎn)控制分為（書(shū)中）：預(yù)防性：在問(wèn)題發(fā)生前預(yù)防，監(jiān)控運(yùn)營(yíng)和輸入；職責(zé)分離、控制對(duì)物理設(shè)施的訪問(wèn)、良好設(shè)計(jì)的文檔、建立交易授權(quán)的適當(dāng)流程、編輯檢查、訪問(wèn)控制軟件、加密軟件檢測(cè)性：使用控制措施來(lái)檢查和報(bào)告已發(fā)生的錯(cuò)誤；哈希、檢查點(diǎn)、通訊回顯控制糾正性：糾正問(wèn)題引起的錯(cuò)誤，把威脅影響降到最??；BCP、備份、DRP審計(jì)風(fēng)險(xiǎn)：審計(jì)過(guò)程中未發(fā)現(xiàn)信息可能存在的重大錯(cuò)誤的風(fēng)險(xiǎn)；審計(jì)風(fēng)險(xiǎn)包括（固有風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)、檢測(cè)風(fēng)險(xiǎn)、整體審計(jì)風(fēng)險(xiǎn)）固有風(fēng)險(xiǎn)：審計(jì)過(guò)程中遇到的，在假定不存在相關(guān)補(bǔ)償控制的情況下，當(dāng)與其他錯(cuò)誤相結(jié)合時(shí)會(huì)導(dǎo)致重大錯(cuò)誤的風(fēng)險(xiǎn)；也可以定義為：在不存在相關(guān)控制的情況下，易于導(dǎo)致重大錯(cuò)誤的風(fēng)險(xiǎn)；是由于業(yè)務(wù)性質(zhì)所導(dǎo)致的，在審計(jì)中獨(dú)立存在（復(fù)雜計(jì)算比簡(jiǎn)單計(jì)算更容易出錯(cuò)）所有審計(jì)項(xiàng)目的基本目標(biāo)之一都是確定控制目標(biāo)及針對(duì)這些目標(biāo)的相關(guān)控制。并找出關(guān)鍵控制點(diǎn)?？刂骑L(fēng)險(xiǎn)：內(nèi)部控制體系不能及時(shí)預(yù)防或檢測(cè)出存在的重大錯(cuò)誤的風(fēng)險(xiǎn)（手工檢查計(jì)算機(jī)日志的相關(guān)檢查風(fēng)險(xiǎn)很高）檢測(cè)風(fēng)險(xiǎn)：信息系統(tǒng)審計(jì)師由于采用了不恰當(dāng)?shù)臏y(cè)試程序，對(duì)實(shí)際存在的重大錯(cuò)誤得出錯(cuò)誤結(jié)論的風(fēng)險(xiǎn)。（識(shí)別檢測(cè)風(fēng)險(xiǎn)能更好的評(píng)價(jià)審計(jì)師的能力）整體審計(jì)風(fēng)險(xiǎn)：對(duì)每一個(gè)具體控制目標(biāo)所評(píng)估出的各類審計(jì)風(fēng)險(xiǎn)的綜合。統(tǒng)計(jì)抽樣風(fēng)險(xiǎn)——指由選定樣本得出錯(cuò)誤的整體特征的風(fēng)險(xiǎn)風(fēng)險(xiǎn)分析——量化風(fēng)險(xiǎn)的系統(tǒng)方法風(fēng)險(xiǎn)評(píng)價(jià)——對(duì)比風(fēng)險(xiǎn)值與風(fēng)險(xiǎn)標(biāo)準(zhǔn)確定風(fēng)險(xiǎn)重要性的過(guò)程風(fēng)險(xiǎn)評(píng)估中所識(shí)別出的每一個(gè)風(fēng)險(xiǎn)都必須處置，處置方式包括：降低、避免、接受、轉(zhuǎn)移風(fēng)險(xiǎn)分析的目標(biāo)是理解和識(shí)別由實(shí)體及其環(huán)境引起的風(fēng)險(xiǎn)和相關(guān)的內(nèi)部控制審計(jì)是典型的檢測(cè)性控制；審計(jì)可定義為：由具備資質(zhì)、勝任、獨(dú)立的組織或人員，針對(duì)流程的預(yù)定結(jié)果，客觀地搜集并評(píng)價(jià)證據(jù)，以確定與既定標(biāo)準(zhǔn)的符合程度，形成意見(jiàn)并報(bào)告的系統(tǒng)過(guò)程。對(duì)特定經(jīng)濟(jì)實(shí)體的可計(jì)量的信息證據(jù)進(jìn)行客觀的收集和評(píng)價(jià)，向利益相關(guān)者報(bào)告。可重現(xiàn)當(dāng)時(shí)場(chǎng)景信息系統(tǒng)控制程序包括：戰(zhàn)略和方針、全面的組織管理、IT資源的訪問(wèn)（包括數(shù)據(jù)和程序）、系統(tǒng)開(kāi)發(fā)和變更控制、運(yùn)行規(guī)程、系統(tǒng)編程及技術(shù)支持智能、質(zhì)量保證（QA）流程、物理訪問(wèn)控制、BCP、DRP、網(wǎng)絡(luò)和通訊、數(shù)據(jù)庫(kù)管理、對(duì)內(nèi)外部攻擊的檢查和保護(hù)機(jī)制風(fēng)險(xiǎn)評(píng)估過(guò)程應(yīng)當(dāng)在組織中持續(xù)進(jìn)行，以致力于及時(shí)發(fā)現(xiàn)和評(píng)估新出現(xiàn)的風(fēng)險(xiǎn)；內(nèi)部控制：為減少風(fēng)險(xiǎn)所實(shí)施的各種政策、步驟、實(shí)踐和組織結(jié)構(gòu)；確保業(yè)務(wù)目標(biāo)的有效達(dá)成。提高經(jīng)營(yíng)效率風(fēng)險(xiǎn)控制另外分類方法：技術(shù)類控制、物理類控制以及管理類控制；COSO內(nèi)部控制框架：控制環(huán)境——風(fēng)險(xiǎn)分析——控制活動(dòng)——內(nèi)部溝通機(jī)制——監(jiān)督和持續(xù)改進(jìn)*COBIT通過(guò)域和流程框架來(lái)提供最佳實(shí)務(wù)，把 34個(gè)IT流程組合到四個(gè)域中：1、計(jì)劃和組織（PO）；、獲取與實(shí)施（AI）；、交付與支持（DS）；、監(jiān)督與評(píng)價(jià)（ME）.COBIT框架定義：IT資源需要由自然歸組的流程管理，為組織提供實(shí)現(xiàn)其目標(biāo)所需要各種類型的、符合質(zhì)量、可用性以及安全要求的信息。（業(yè)務(wù)部門需要IT部門提供滿足一定要求的信息）；管理：好的事情發(fā)生，產(chǎn)生價(jià)值、創(chuàng)造效益；控制：防止風(fēng)險(xiǎn)業(yè)務(wù)需求七要素：種類項(xiàng)目解釋質(zhì)量效果符合業(yè)務(wù)部門的期望效率成本效益保密性信息泄露安全可用性物理設(shè)備的丟失、信息被破壞；需要時(shí)能用完整性防止篡改、修改符合性合規(guī)性，法律法規(guī)受信/受托數(shù)據(jù)準(zhǔn)確可靠性IT資源：人員、信息、基礎(chǔ)架構(gòu)、應(yīng)用系統(tǒng)；通過(guò)流程化管理IT資源；通用控制：適用于組織的各個(gè)方面，包括：會(huì)計(jì)控制、運(yùn)營(yíng)控制、管理控制；應(yīng)用控制：針對(duì)特定的流程；信息系統(tǒng)控制：戰(zhàn)略指導(dǎo)、信息系統(tǒng)開(kāi)發(fā)流程的控制、程序變更管理控制、計(jì)算機(jī)運(yùn)行管理控制、程序與數(shù)據(jù)訪問(wèn)控制、信息系統(tǒng)安全的控制、網(wǎng)絡(luò)和通訊、數(shù)據(jù)庫(kù)管理、 IT計(jì)劃；*審計(jì)是指：有勝任能力的獨(dú)立機(jī)構(gòu)或人員（審計(jì)主體）接受委托或授權(quán)（審計(jì)關(guān)系） ，對(duì)特定經(jīng)濟(jì)實(shí)體的可計(jì)量的信息（審計(jì)對(duì)象）證據(jù)進(jìn)行客觀的收集和評(píng)價(jià)證據(jù)（審計(jì)工作），以確定這些信息與既定標(biāo)準(zhǔn)（審計(jì)依據(jù)）的符合程度，并向利益相關(guān)者報(bào)告（審計(jì)目標(biāo)）的一個(gè)系統(tǒng)的過(guò)程（審計(jì)過(guò)程）； 審計(jì)的性質(zhì)——獨(dú)立、客觀。*位流映像——鏡像 之后再做哈?！乐勾鄹膶徲?jì)的實(shí)質(zhì)：審計(jì)信息是否滿足7要素；制定信息系統(tǒng)審計(jì)計(jì)劃的關(guān)鍵內(nèi)容就是把寬泛的基本審計(jì)目標(biāo)轉(zhuǎn)化成具體的信息系統(tǒng)審計(jì)目標(biāo)；信息系統(tǒng)審計(jì)師必須明白如何把一般審計(jì)目標(biāo)轉(zhuǎn)換成特定的信息系統(tǒng)控制目標(biāo)。確定審計(jì)目標(biāo)是信息系統(tǒng)審計(jì)計(jì)劃的關(guān)鍵步驟。審計(jì)目標(biāo)是指審計(jì)工作必須實(shí)現(xiàn)的特定目的；控制目標(biāo)是指內(nèi)部控制應(yīng)當(dāng)如何發(fā)揮作用信息系統(tǒng)審計(jì)人員從以下方面評(píng)估信息系統(tǒng)職能：安全質(zhì)量受托責(zé)任服務(wù)和能力信息安全控制應(yīng)當(dāng)在系統(tǒng)和項(xiàng)目的需求說(shuō)明及設(shè)計(jì)階段予以考慮信息系統(tǒng)審計(jì)師應(yīng)當(dāng)對(duì)各類風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)并選擇高風(fēng)險(xiǎn)領(lǐng)域?qū)嵤徲?jì)符合性測(cè)試（控制測(cè)試）——實(shí)質(zhì)性測(cè)試：是否有控制—控制是否落實(shí)—控制是否有效—控制是否持續(xù)舞弊檢查：1、檢查確認(rèn)；2、與適當(dāng)管理層溝通；3、與審計(jì)委員會(huì)溝通——向董事會(huì)溝通；審計(jì)師在接受客戶審計(jì)時(shí)就應(yīng)對(duì)審計(jì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，將評(píng)估風(fēng)險(xiǎn)與預(yù)計(jì)可接受的總審計(jì)風(fēng)險(xiǎn)水平比較后，決定是否接受客戶；審計(jì)風(fēng)險(xiǎn)分類：固有風(fēng)險(xiǎn)、控制風(fēng)險(xiǎn)、檢查風(fēng)險(xiǎn)（審計(jì)風(fēng)險(xiǎn)）；總體審計(jì)風(fēng)險(xiǎn)。符合性測(cè)試是為測(cè)試組織對(duì)控制程序的符合性而收集證據(jù)，驗(yàn)證控制的執(zhí)行是否符合管理政策和規(guī)程（測(cè)試內(nèi)控是否起作用）；實(shí)質(zhì)性測(cè)試是為評(píng)價(jià)交易、數(shù)據(jù)或其他信息的完整性而收集證據(jù)，證實(shí)實(shí)際處理的完整性。需要進(jìn)行實(shí)質(zhì)性測(cè)試的數(shù)量與內(nèi)部控制的水平直接相關(guān)符合性測(cè)試（控制測(cè)試）——簡(jiǎn)單、快速、資源消耗少實(shí)質(zhì)性（重要性）：可容忍錯(cuò)報(bào)或漏報(bào)的最好界限，其運(yùn)用的情形：1、在編制審計(jì)計(jì)劃的時(shí)候，進(jìn)行初步估計(jì)；2、在做出審計(jì)結(jié)果時(shí)候，進(jìn)行判斷。審計(jì)風(fēng)險(xiǎn)與實(shí)質(zhì)性（重要性）：實(shí)質(zhì)性水平越高，審計(jì)工作風(fēng)險(xiǎn)就越低；實(shí)質(zhì)性水平越低，審計(jì)工作風(fēng)險(xiǎn)就越高；符合性測(cè)試（控制測(cè)試）：屬性抽樣實(shí)質(zhì)性測(cè)試：判斷控制是否完整充分性—數(shù)量上足夠；適當(dāng)性—審計(jì)證據(jù)有效且相關(guān)；統(tǒng)計(jì)抽樣——采用統(tǒng)計(jì)推斷技術(shù)的一種抽樣方法，可以量化抽樣風(fēng)險(xiǎn)非統(tǒng)計(jì)抽樣——隨機(jī)抽樣屬性抽樣一般用于符合性測(cè)試中估計(jì)屬性的有或無(wú)，結(jié)論是用比率表示發(fā)生率（屬性抽樣、?！叱闃?、發(fā)現(xiàn)抽樣）；變量抽樣一般用于實(shí)質(zhì)性測(cè)試中估計(jì)總體的變化特征，結(jié)論是與正常值的偏差范圍具體數(shù)值（分層單位平均估計(jì)抽樣、不分層單位平均估計(jì)抽樣、差額估計(jì)）屬性抽樣：1、固定樣本抽樣：100個(gè)里面抽10個(gè)2、?！叱闃樱?00個(gè)里面先抽5個(gè)，如果沒(méi)有問(wèn)題就停止，如果有問(wèn)題就再抽、發(fā)現(xiàn)抽樣：100個(gè)里面一直抽，直到抽到一個(gè)有問(wèn)題為止變量抽樣：分層單位平均估計(jì)抽樣、不分層單位平均估計(jì)抽樣、差額估計(jì)抽樣；置信系數(shù)越高，樣本量越大；風(fēng)險(xiǎn)水平=1-置信系數(shù)；精度值越小樣本量越大控制需求：發(fā)現(xiàn)高風(fēng)險(xiǎn)區(qū)域而又未控制的區(qū)域補(bǔ)償性控制與重疊性控制：需要重點(diǎn)關(guān)注的是補(bǔ)償性控制；補(bǔ)償控制是強(qiáng)控制補(bǔ)償弱控制，而重疊控制是指兩個(gè)強(qiáng)控制；信息系統(tǒng)審計(jì)師在報(bào)告控制缺陷之前應(yīng)當(dāng)先檢查補(bǔ)償性控制判斷控制是否有效率和效果；信息系統(tǒng)審計(jì)師在報(bào)告發(fā)布前，就重要發(fā)現(xiàn)及時(shí)和合適的人員進(jìn)行交流，但前提是交流不應(yīng)該改變報(bào)告的內(nèi)容；*審計(jì)底稿是指在審計(jì)過(guò)程中產(chǎn)生的所有的記錄和資料，應(yīng)保存 7年；控制自我評(píng)估（CSA）三個(gè)基本特征：1、關(guān)注業(yè)務(wù)的過(guò)程和控制的成效；2、有管理部門和職員共同進(jìn)行；3、用結(jié)構(gòu)化的方法開(kāi)展自我評(píng)估。*在控制自我評(píng)估（CSA）中，信息系統(tǒng)審計(jì)師作為控制專家和評(píng)估引導(dǎo)人，只是CSA的推動(dòng)者；CSA把部門經(jīng)理的監(jiān)督職責(zé)分散到員工中審計(jì)師在CSA中的目標(biāo)：增強(qiáng)審計(jì)職責(zé)在控制責(zé)任和監(jiān)控當(dāng)中教育各級(jí)管理者通過(guò)對(duì)在CSA中注意到的高風(fēng)險(xiǎn)和非正常項(xiàng)目進(jìn)行復(fù)核來(lái)確定審計(jì)工作目標(biāo)通過(guò)把糾錯(cuò)心動(dòng)從所有者方面向雇員方面轉(zhuǎn)移的辦法來(lái)提高糾錯(cuò)行動(dòng)的有效性一些組織在做CSA評(píng)估時(shí)，可能還會(huì)包括客戶、貿(mào)易伙伴等外部人員CSA主要目標(biāo)是通過(guò)把一些控制監(jiān)督職責(zé)分散到職能部門來(lái)充分發(fā)揮內(nèi)部審計(jì)職能的左右，這并不是要替代審計(jì)的職責(zé)，而是一種加強(qiáng)審計(jì)師應(yīng)該牢記他們只是CSA的推動(dòng)者，只有管理人員才是CSA程序的具體實(shí)施者連續(xù)監(jiān)控與連續(xù)審計(jì)區(qū)別：監(jiān)控僅僅記錄所有滿足設(shè)定條件的事件；審計(jì)則一旦控制失效，自動(dòng)觸發(fā)報(bào)警。持續(xù)審計(jì)的技術(shù)應(yīng)該在系統(tǒng)開(kāi)發(fā)和實(shí)施的早期階段介入；持續(xù)審計(jì)的限制因素：成本問(wèn)題持續(xù)審計(jì)是被審計(jì)事實(shí)的發(fā)生至證據(jù)收集和審計(jì)報(bào)告之間的時(shí)間間隔非常短持續(xù)審計(jì)應(yīng)獨(dú)立于持續(xù)控制或監(jiān)控活動(dòng)，當(dāng)同時(shí)存在持續(xù)監(jiān)控和持續(xù)審計(jì)時(shí)，就形成了持續(xù)保證IT系統(tǒng)通常是預(yù)防和檢查性控制的第一道防線，綜合審計(jì)的根本就在于合理評(píng)估它們的效果及效率確定審計(jì)發(fā)現(xiàn)重要性的關(guān)鍵是評(píng)估這些審計(jì)發(fā)現(xiàn)對(duì)各級(jí)管理層的重要性，評(píng)估中需要判斷未針對(duì)審計(jì)發(fā)現(xiàn)采取糾正措施可能導(dǎo)致的潛在影響。審計(jì)證據(jù)可靠性的決定因素：、提供審計(jì)證據(jù)的人員的獨(dú)立性、提供信息或證據(jù)的人員的資格、證據(jù)的客觀性、證據(jù)的時(shí)效性應(yīng)當(dāng)由信息系統(tǒng)審計(jì)師來(lái)最終決定審計(jì)報(bào)告中包括或不包括哪些內(nèi)容綜合審計(jì)的一個(gè)關(guān)鍵步驟就是審計(jì)組集體討論風(fēng)險(xiǎn)及其影響和發(fā)生的可能性詳細(xì)審計(jì)工作關(guān)注已存在的管理這些風(fēng)險(xiǎn)的相關(guān)控制。進(jìn)行實(shí)際取證時(shí)，只能對(duì)位流映像進(jìn)行操作，目標(biāo)驅(qū)動(dòng)器應(yīng)該封存對(duì)司法取證審計(jì)師而言，最重要的考慮就是做好目標(biāo)驅(qū)動(dòng)器的位流映像（鏡像），并檢查該映像的時(shí)間戳和其他信息屬性未被人為改變；位流映像做出來(lái)后應(yīng)該對(duì)目標(biāo)驅(qū)動(dòng)器進(jìn)行哈希，然后與位流映像的哈希進(jìn)行對(duì)比，確保兩者的完全一致；除了位流映像以外還有內(nèi)存信息轉(zhuǎn)儲(chǔ)到文件中也是司法取證的一種；信息系統(tǒng)審計(jì)師通常從許多不同的角度來(lái)評(píng)估IT職能和系統(tǒng)：安全——機(jī)密性、完整性、可用性質(zhì)量——效果、效率委托責(zé)任——符合性、可靠性服務(wù)和能力第二章IT 治理與管理*IT 治理是組織中的一種安排。目的是為了提高

IT

績(jī)效，降低

IT

風(fēng)險(xiǎn)，有效利用資源。信息系統(tǒng)的戰(zhàn)略規(guī)劃是獲取、配置和管理信息資源及實(shí)現(xiàn)組織遠(yuǎn)景目標(biāo)的總體規(guī)劃，包括軟件、硬件、責(zé)任以及資源配置等，提供給組織相應(yīng)的解決方案。IT治理有助于確保IT和企業(yè)目標(biāo)保持一致，IT治理的關(guān)鍵因素是IT與業(yè)務(wù)保持一致，以實(shí)現(xiàn)業(yè)務(wù)價(jià)值IT治理采用最佳實(shí)踐來(lái)確保組織信息及相關(guān)技術(shù)支持其業(yè)務(wù)目標(biāo)（如戰(zhàn)略一致）和價(jià)值交付，確保資源得到合理使用、風(fēng)險(xiǎn)得到適當(dāng)管理、績(jī)效得到測(cè)評(píng)*信息技術(shù)對(duì)企業(yè)非常重要，不能把職責(zé)放給IT管理人員或IT專家，而必須得到整個(gè)高級(jí)管理層的關(guān)注IT治理在根本上關(guān)注以下兩方面的問(wèn)題：IT如何有效率有效果的使用IT資源；IT治理的關(guān)鍵因素是保持與業(yè)務(wù)戰(zhàn)略的一致，引導(dǎo)業(yè)務(wù)價(jià)值的實(shí)現(xiàn)；IT治理是董事會(huì)和最高管理層的責(zé)任，是企業(yè)整體治理的一部分，它由領(lǐng)導(dǎo)關(guān)系、組織結(jié)構(gòu)以及能確保IT支撐和擴(kuò)展組織戰(zhàn)略及目標(biāo)的流程組成關(guān)鍵的IT治理實(shí)務(wù)有：IT戰(zhàn)略委員會(huì)、風(fēng)險(xiǎn)管理和標(biāo)準(zhǔn)IT平衡記分卡IT治理的關(guān)注領(lǐng)域：戰(zhàn)略一致、價(jià)值支付、資源管理、風(fēng)險(xiǎn)管理、績(jī)效測(cè)評(píng)IT治理實(shí)各種關(guān)系與流程結(jié)構(gòu)，用于指導(dǎo)和控制組織達(dá)成增值目標(biāo)，同時(shí)還要保證IT及其流程的風(fēng)險(xiǎn)與收益的平衡。在IT治理中，信息系統(tǒng)審計(jì)師應(yīng)當(dāng)確認(rèn)已明確以下內(nèi)容：1、工作范圍，包括清晰定義所涵蓋的職能領(lǐng)域和事務(wù)；2、采用的報(bào)告路線，使查出的IT治理問(wèn)題能報(bào)告給組織的最高層3、信息系統(tǒng)審計(jì)師對(duì)信息的訪問(wèn)權(quán)限，包括對(duì)組織內(nèi)部和第三方服務(wù)提供商IT戰(zhàn)略委員會(huì)是方向性的：由一個(gè)董事會(huì)成員加外部專家組成，戰(zhàn)略層面IT指導(dǎo)委員會(huì)是技術(shù)執(zhí)行層面的IT平衡記分卡是協(xié)助IT戰(zhàn)略委員會(huì)和管理層實(shí)現(xiàn)IT與業(yè)務(wù)保持一致的最有效的方法之一，其目標(biāo)是建立管理層向董事會(huì)的報(bào)告途徑，就IT戰(zhàn)略目標(biāo)在關(guān)鍵利益相關(guān)方之間達(dá)成一致，證實(shí)IT的效果與價(jià)值，溝通IT績(jī)效、風(fēng)險(xiǎn)和能力。信息：具有特定意義和目標(biāo)的數(shù)據(jù)信息安全的復(fù)雜性、相關(guān)性、危險(xiǎn)性及其治理都要在組織的董事會(huì)層面予以考慮并提供支持信息安全的憂慮：對(duì)信息及其處理系統(tǒng)的持續(xù)依賴和眾多威脅所導(dǎo)致的復(fù)雜風(fēng)險(xiǎn)。有效的信息安全能為組織帶來(lái)巨大價(jià)值：、在與貿(mào)易伙伴的交往中提供可靠的信賴；、提高客戶的信任度；、保護(hù)組織信譽(yù)、促進(jìn)采用更新更好的方式處理電子交易業(yè)務(wù)戰(zhàn)略方針通過(guò)業(yè)務(wù)目的和目標(biāo)來(lái)明確，信息安全必須能支持業(yè)務(wù)活動(dòng)向企業(yè)交付價(jià)值；信息安全治理框架為制定一套有成本效益的、支持組織業(yè)務(wù)目標(biāo)的信息安全程序提供了基礎(chǔ)。該程序的目標(biāo)是建立一系列的活動(dòng)以保證信息資產(chǎn)受到與其價(jià)值或給組織帶來(lái)的潛在風(fēng)險(xiǎn)相稱的保護(hù)。IT治理是企業(yè)的一種制度安排，它通過(guò)為IT提供必要的領(lǐng)導(dǎo)力、組織結(jié)構(gòu)和相關(guān)過(guò)程，來(lái)保證企業(yè)的IT能支持企業(yè)戰(zhàn)略和實(shí)現(xiàn)企業(yè)目標(biāo)，同時(shí)控制風(fēng)險(xiǎn)、降低成本、提高績(jī)效。IT治理是董事會(huì)和執(zhí)行管理層的職責(zé)，是企業(yè)治理的重要組成部分；*IT 管理是公司的信息及信息系統(tǒng)的運(yùn)營(yíng)，確定 IT目標(biāo)以及實(shí)現(xiàn)此目標(biāo)所采取的行動(dòng)；IT治理是最高管理層（董事會(huì)）通過(guò)IT治理監(jiān)督執(zhí)行管理層在IT戰(zhàn)略上的過(guò)程、結(jié)構(gòu)和聯(lián)系，以確保這種運(yùn)營(yíng)處于正確的軌道上IT治理是董事會(huì)和高級(jí)管理層的責(zé)任IT治理框架主要流程：1、IT資源管理，關(guān)注現(xiàn)有的全部 IT資源的維護(hù)并落實(shí)風(fēng)險(xiǎn)管理程序；2、績(jī)效衡量，關(guān)注確保所有 IT資源向業(yè)務(wù)交付既定價(jià)值，也在早期識(shí)別風(fēng)險(xiǎn)；、合規(guī)管理，關(guān)注滿足法律、法規(guī)要求的流程的落實(shí)關(guān)鍵IT治理實(shí)務(wù)：IT戰(zhàn)略委員會(huì)（隸屬董事會(huì)，由董事會(huì)成員+專家組成），風(fēng)險(xiǎn)管理和標(biāo)準(zhǔn)IT平衡記分卡*COBIT五個(gè)IT治理域都受利益相關(guān)者價(jià)值驅(qū)動(dòng)，其中價(jià)值交付、風(fēng)險(xiǎn)管理是結(jié)果，戰(zhàn)略一致、績(jī)效考評(píng)是驅(qū)動(dòng)力，IT資源管理為治理提供支持。IT戰(zhàn)略委員會(huì)負(fù)責(zé)宏觀的指導(dǎo)性要求IT指導(dǎo)委員會(huì)負(fù)責(zé)具體事務(wù)，預(yù)算、架構(gòu)以及項(xiàng)目進(jìn)展，不討論具體細(xì)節(jié)問(wèn)題；信息系統(tǒng)審計(jì)師需要對(duì)IT治理的各個(gè)方面進(jìn)行評(píng)估：、信息系統(tǒng)審計(jì)的職能與組織的使命、愿景、價(jià)值、目標(biāo)和戰(zhàn)略一致；、信息系統(tǒng)的職能績(jī)效目標(biāo)應(yīng)當(dāng)由業(yè)務(wù)來(lái)決定（效率與效果）；、法律問(wèn)題、環(huán)境問(wèn)題、信息質(zhì)量、信用和安全需求；、組織的控制環(huán)境；、信息系統(tǒng)環(huán)境的內(nèi)在風(fēng)險(xiǎn)；、IT投資/費(fèi)用IT平衡記分卡的四個(gè)視角（只是管理報(bào)告工具）：財(cái)務(wù)視角：為了使股東滿意客戶視角：為了實(shí)現(xiàn)財(cái)務(wù)目標(biāo)，需要服務(wù)客戶過(guò)程視角：提高客戶和利益相關(guān)者的滿意度學(xué)習(xí)視角：為了達(dá)成目標(biāo)，組織應(yīng)當(dāng)如何學(xué)習(xí)與創(chuàng)新信息安全治理具有特定的價(jià)值驅(qū)動(dòng)：信息安全的機(jī)密性（C）、完整性（I）和可用性（A），持續(xù)服務(wù)和信息資產(chǎn)保護(hù)等，使信息安全治理成為一個(gè)重點(diǎn)關(guān)注領(lǐng)域；是董事會(huì)和高管的職責(zé)。信息安全治理、價(jià)值交付：優(yōu)化安全投資以支持業(yè)務(wù)目標(biāo)；、績(jī)效評(píng)測(cè)：衡量、監(jiān)督和報(bào)告信息安全流程，以確保實(shí)現(xiàn)SMART目標(biāo)（確定的、可度量的、可實(shí)現(xiàn)的、相關(guān)的和符合時(shí)間要求的）、資源管理：有效利用信息安全知識(shí)與基礎(chǔ)設(shè)施、流程整合：關(guān)注組織安全管理保證流程的整合，目標(biāo)在改善整體安全及運(yùn)營(yíng)效率。信息安全治理的安全職責(zé)：、董事會(huì)——提出要求，聽(tīng)取匯報(bào)、執(zhí)行管理層——制定具體的流程定義、指導(dǎo)委員會(huì)——具體事務(wù)的定義、信息安全管理層——具體流程的執(zhí)行、審計(jì)員——對(duì)各個(gè)流程執(zhí)行的評(píng)價(jià)審計(jì)員永遠(yuǎn)不提具體的改進(jìn)活動(dòng)，改進(jìn)審計(jì)出來(lái)的缺陷，是被審計(jì)單位的管理層的職責(zé)；*企業(yè)架構(gòu)（EA）通過(guò)一種結(jié)構(gòu)化的方式來(lái)反映組織 IT資產(chǎn)，并有效管理對(duì) IT投資；企業(yè)架構(gòu)通常應(yīng)描述記錄當(dāng)前資產(chǎn)狀態(tài)和最佳未來(lái)資產(chǎn)狀態(tài)。IT治理目標(biāo)要求IT戰(zhàn)略應(yīng)當(dāng)與整體業(yè)務(wù)保持一致*AUP:可接受使用策略（AcceptableUsePolicy）是指這些網(wǎng)絡(luò)能夠被誰(shuí)使用的約束策略（最終用戶如何使用信息資產(chǎn)的準(zhǔn)則以及期望）。AUPs的執(zhí)行是隨網(wǎng)絡(luò)變化的。許多公共網(wǎng)絡(luò)服務(wù)有一個(gè)AUP。這個(gè)AUP是一個(gè)正式的或非正式的文件，其定義了網(wǎng)絡(luò)的應(yīng)用意圖、不接受的使用和不服從的結(jié)果。一個(gè)人注冊(cè)一個(gè)基于網(wǎng)絡(luò)的服務(wù)或工作在一個(gè)社團(tuán)內(nèi)部網(wǎng)時(shí)經(jīng)常會(huì)遇到一個(gè)AUP。一個(gè)好的AUP將包括網(wǎng)絡(luò)禮節(jié)的規(guī)定，限制網(wǎng)絡(luò)資源的使用和明確指出網(wǎng)絡(luò)應(yīng)該尊敬的成員的隱私，最好的AUPs使"whatif"關(guān)一體化，其舉例說(shuō)明這個(gè)策略在現(xiàn)實(shí)世界協(xié)商中的作用。IT投資財(cái)務(wù)指標(biāo)關(guān)注：投資回報(bào)率（ROI）關(guān)注風(fēng)險(xiǎn)的同時(shí)也要關(guān)注投資回報(bào)；平衡記分卡決定項(xiàng)目投資與否，強(qiáng)調(diào)愿景；IT投資組合，具體項(xiàng)目投資量，關(guān)注投資回報(bào)最大化。IT平衡記分卡評(píng)估IT功能和流程政策：永遠(yuǎn)都是高層政策決定低層政策。從集中到分散。政策最高管理層一定要簽字確認(rèn)，定期修訂，重大變化時(shí)隨時(shí)修訂。最重要的一個(gè)方面是受程序控制的人員熟悉規(guī)程內(nèi)容，如果使用程序人員不了解其內(nèi)容，該程序是無(wú)效風(fēng)險(xiǎn)：外在威脅利用資產(chǎn)本身（保護(hù)對(duì)象）的脆弱性（對(duì)象本身特點(diǎn)）造成損害的可能?？刂凭褪亲钄嗤{壞事已經(jīng)發(fā)生了叫事件，可能發(fā)生叫風(fēng)險(xiǎn)；*凡是高于風(fēng)險(xiǎn)可接受水平的，就要進(jìn)入風(fēng)險(xiǎn)處置（降低、轉(zhuǎn)移、回避、接受） ；任何對(duì)企業(yè)有價(jià)值的資源都叫資產(chǎn)，所有資產(chǎn)有有脆弱性。一個(gè)未經(jīng)保護(hù)的線路——脆弱性風(fēng)險(xiǎn)管理根據(jù)成本效益原則采?。罕苊怙L(fēng)險(xiǎn)：選擇不從事導(dǎo)致風(fēng)險(xiǎn)的特定活動(dòng)或流程降低風(fēng)險(xiǎn)：制定、實(shí)施并監(jiān)督適當(dāng)?shù)目刂平档惋L(fēng)險(xiǎn)發(fā)生的可能性轉(zhuǎn)移風(fēng)險(xiǎn)：購(gòu)買保險(xiǎn)或者保修服務(wù)接受風(fēng)險(xiǎn)：經(jīng)過(guò)評(píng)估后正視風(fēng)險(xiǎn)的存在，并監(jiān)視風(fēng)險(xiǎn)管理的核心是：保護(hù)資產(chǎn)在攻擊發(fā)生后，還沒(méi)有造成損失叫事態(tài)，已經(jīng)發(fā)生侵害損失叫事件風(fēng)險(xiǎn)管理首先需要識(shí)別信息資產(chǎn)（包括物理的、邏輯的和無(wú)形的）風(fēng)險(xiǎn)管理過(guò)程：識(shí)別信息資產(chǎn)、識(shí)別并評(píng)估威脅、識(shí)別并評(píng)估脆弱性IT風(fēng)險(xiǎn)管理在多種層面上進(jìn)行綜合分析：運(yùn)行層面：關(guān)注能影響IT系統(tǒng)及基礎(chǔ)設(shè)施的效果及效率的風(fēng)險(xiǎn)，繞過(guò)系統(tǒng)控制的風(fēng)險(xiǎn)，關(guān)鍵資源損失風(fēng)險(xiǎn)項(xiàng)目層面：關(guān)注理解和管理項(xiàng)目復(fù)雜性的能力，項(xiàng)目不能有效完成、未實(shí)現(xiàn)項(xiàng)目目標(biāo)的風(fēng)險(xiǎn)戰(zhàn)略層面：關(guān)注 IT能力與業(yè)務(wù)戰(zhàn)略保持一致的程度風(fēng)險(xiǎn)分析方法：定性方法：主觀風(fēng)險(xiǎn)定級(jí)，采用問(wèn)卷式的檢查列表（CHECKLIST）半定量分析法：還是定性法的一種。定量分析法：使用數(shù)值描述風(fēng)險(xiǎn)發(fā)生的可能性及其影響應(yīng)在公司的所有IT職能領(lǐng)域內(nèi)實(shí)施風(fēng)險(xiǎn)管理，風(fēng)險(xiǎn)管理是高層管理人員的職責(zé)，盡量使用量化風(fēng)險(xiǎn)的管理辦法信息安全治理的成果：、戰(zhàn)略一致——使信息安全與業(yè)務(wù)戰(zhàn)略保持一致以支持組織目標(biāo)、風(fēng)險(xiǎn)管理——管理和實(shí)施適當(dāng)?shù)拇胧┮越档惋L(fēng)險(xiǎn)并減少對(duì)信息資源的潛在影響至可接受水平、價(jià)值交付——優(yōu)化安全投資以支持業(yè)務(wù)目標(biāo)、績(jī)效衡量——衡量、監(jiān)督和報(bào)告信息安全流程，以確保實(shí)現(xiàn)SMART目標(biāo)（具體的、可度量的、可實(shí)現(xiàn)的、切實(shí)的和有時(shí)限的）、資源管理——有效利用信息安全知識(shí)與基礎(chǔ)設(shè)施、流程整合——關(guān)注組織安全管理保證流程的整合信息安全治理需要戰(zhàn)略指導(dǎo)和推動(dòng)力，需要委任、資源和為信息安全管理分配責(zé)任，也包括董事會(huì)確定其目標(biāo)是否已實(shí)現(xiàn)的方式。*企業(yè)架購(gòu)關(guān)注的內(nèi)容是響應(yīng)不斷增加的 IT復(fù)雜性，現(xiàn)代組織的復(fù)雜性，重點(diǎn)關(guān)注 IT與業(yè)務(wù)戰(zhàn)略的一致性并確保 IT投資產(chǎn)生真實(shí)回報(bào)企業(yè)架構(gòu)（EA）的參考模型：績(jī)效參考模型—衡量主要IT投資績(jī)效及其對(duì)業(yè)務(wù)流程績(jī)效貢獻(xiàn)度的框架業(yè)務(wù)參考模型—功能驅(qū)動(dòng)的框架，描述由政府、獨(dú)立機(jī)構(gòu)所執(zhí)行的功能服務(wù)組件參考模型—對(duì)支持業(yè)務(wù)和績(jī)效目標(biāo)的服務(wù)組件進(jìn)行分類的功能性框架技術(shù)參考模型—描述技術(shù)如何支持服務(wù)組件的交付、替換和構(gòu)建的框架數(shù)據(jù)參考模型—用在開(kāi)發(fā)過(guò)程中，描述支持程序和業(yè)務(wù)生產(chǎn)線的數(shù)據(jù)信息對(duì)XX的控制是最有效——找屬于預(yù)防性控制強(qiáng)制休假——防止舞弊，發(fā)現(xiàn)問(wèn)題加強(qiáng)控制信息系統(tǒng)職能的交付方式包括：內(nèi)包——由組織內(nèi)員工實(shí)施外包——全部由供應(yīng)商實(shí)施（把公司無(wú)增值功能的事務(wù)轉(zhuǎn)移出去）混合方式——由組織員工和供應(yīng)商混合實(shí)施信息系統(tǒng)職能實(shí)施方式：現(xiàn)場(chǎng)——員工直接在信息系統(tǒng)現(xiàn)場(chǎng)工作離場(chǎng)（近岸）——員工在同一地理區(qū)域內(nèi)的不同地點(diǎn)遠(yuǎn)程工作離岸——員工在不同的地理區(qū)域遠(yuǎn)程工作外包方式應(yīng)該注意：數(shù)據(jù)的所有者、知識(shí)產(chǎn)權(quán)問(wèn)題以及對(duì)外包方的審計(jì)權(quán)問(wèn)題全球化外包需要注意事項(xiàng)：法律、法規(guī)和稅務(wù)方面的事務(wù)——不同國(guó)家和地區(qū)對(duì)IT系統(tǒng)的相關(guān)規(guī)定持續(xù)運(yùn)行——可能無(wú)法提供測(cè)試BCP和DRP網(wǎng)絡(luò)通訊事務(wù)跨國(guó)界和跨文化的事務(wù)云計(jì)算服務(wù)交付模型：SaaS（軟件交付）、PaaS（平臺(tái)交付）、laaS（架構(gòu)交付）laaS（架構(gòu)交付）需要關(guān)注：服務(wù)中斷PaaS（平臺(tái)交付）需要關(guān)注：隱私性，數(shù)據(jù)所有權(quán)SaaS（軟件交付）需要關(guān)注：軟件應(yīng)用所處位置云計(jì)算注意的問(wèn)題：服務(wù)商宕機(jī)、機(jī)密性如何保證、安全問(wèn)題的法律責(zé)任、數(shù)據(jù)所有權(quán)私有云的安全性最好，但不容易擴(kuò)展敏感數(shù)據(jù)的使用者需要關(guān)心數(shù)據(jù)安全性問(wèn)題云治理要考慮使用云計(jì)算時(shí)主要考慮和IT的戰(zhàn)略方向采購(gòu)實(shí)務(wù)中第三方服務(wù)的變更管理：變更服務(wù)條款，包括對(duì)現(xiàn)有的信息安全政策、規(guī)程和控制的維護(hù)及改善，應(yīng)考慮業(yè)務(wù)關(guān)系的關(guān)鍵性及其涉及流程進(jìn)行管理，并重新評(píng)估風(fēng)險(xiǎn)。建立IT用戶計(jì)費(fèi)機(jī)制可以提高應(yīng)用水平，監(jiān)督信息系統(tǒng)費(fèi)用和可用資源軟件開(kāi)發(fā)，公司對(duì)內(nèi)部使用軟件的成本資本化（作為固定資產(chǎn)成本攤銷）績(jī)效優(yōu)化：是在無(wú)須對(duì)信息技術(shù)基礎(chǔ)設(shè)施追加額外投資的情況下，將信息系統(tǒng)的生產(chǎn)力盡可能提高到最高水平*管理指南的重要內(nèi)容：

關(guān)鍵成功要素（

CSF）、關(guān)鍵目標(biāo)指標(biāo)（

KGI）、關(guān)鍵績(jī)效指標(biāo)（KPI）、成熟度模型信息系統(tǒng)部門組織結(jié)構(gòu)職務(wù)：最終用戶服務(wù)臺(tái)：與業(yè)務(wù)部門溝通的界面運(yùn)行部門計(jì)算機(jī)操作員：在主機(jī)環(huán)境的控制臺(tái)上執(zhí)行任務(wù)技術(shù)支持部門的系統(tǒng)程序員：在主機(jī)環(huán)境中對(duì)操作系統(tǒng)進(jìn)行修改職責(zé)分離（要理解）業(yè)務(wù)部門IT部門安全管理員最終用戶不可以是系統(tǒng)管理員開(kāi)發(fā)部門選項(xiàng)中業(yè)務(wù)案例最重要應(yīng)用程序員分析員生產(chǎn)現(xiàn)場(chǎng)*發(fā)現(xiàn)沒(méi)有職責(zé)分離，找補(bǔ)償性控制選擇項(xiàng)中不系選統(tǒng)：程多序加員人、停止工作、自動(dòng)化操檢作查人系員統(tǒng)*審計(jì)師發(fā)現(xiàn)問(wèn)題——找證據(jù) 審計(jì)師確認(rèn)問(wèn)題——報(bào)告適當(dāng)?shù)墓芾韺涌刂平M負(fù)責(zé)收集、轉(zhuǎn)換和控制輸入，核對(duì)結(jié)果并向用戶分發(fā)結(jié)果質(zhì)量控制：負(fù)責(zé)執(zhí)行測(cè)試或?qū)彶椋则?yàn)證并確保軟件不存在缺陷并滿足用戶預(yù)期，必須QA在程序被遷移到生產(chǎn)環(huán)境之前進(jìn)行。OS管理員發(fā)布、制定、維*質(zhì)量保證（QA）：幫助信息系統(tǒng)部門確保其人員遵守規(guī)定的質(zhì)量程序。護(hù)質(zhì)量標(biāo)準(zhǔn)。網(wǎng)絡(luò)管理員*不能對(duì)自己的工作做QA；用戶、開(kāi)發(fā)人員不能做QADBA*應(yīng)用程序員負(fù)責(zé)開(kāi)發(fā)和維護(hù)應(yīng)用系統(tǒng)，只能在開(kāi)發(fā)和測(cè)試環(huán)境中進(jìn)行；*在小型機(jī)構(gòu)中，網(wǎng)絡(luò)管理員可以負(fù)責(zé)局域網(wǎng)的安全管理，可以擁有系統(tǒng)程序員及最終用戶的職責(zé)，但不應(yīng)擁有應(yīng)用程序編程的職責(zé)；*從信息系統(tǒng)的角度來(lái)看，戰(zhàn)略規(guī)劃是組織為了利用信息技術(shù)來(lái)改善業(yè)務(wù)流程而確定的長(zhǎng)期發(fā)展方向。*在制定業(yè)務(wù)戰(zhàn)略過(guò)程中缺乏IT的介入將導(dǎo)致IT戰(zhàn)略規(guī)劃不能與業(yè)務(wù)戰(zhàn)略保持一致的風(fēng)險(xiǎn)*戰(zhàn)略指導(dǎo)委員會(huì)的主要職責(zé)是對(duì)重要的信息系統(tǒng)項(xiàng)目進(jìn)行審查，而不應(yīng)當(dāng)涉及日常運(yùn)營(yíng)。*IT指導(dǎo)委員會(huì)監(jiān)督重大項(xiàng)目的進(jìn)度和資源分配*項(xiàng)目管理委員會(huì)負(fù)責(zé)制定IT項(xiàng)目策略*采用自頂向下的方法來(lái)制定低層政策，確保了各級(jí)政策的一致性*采用自底向上的方法來(lái)制定低層政策，基于風(fēng)險(xiǎn)評(píng)估的結(jié)果而制定的，可能更加實(shí)用，但容易造成政策間的不一致和相互抵觸。*程序反映了業(yè)務(wù)流程及嵌入的控制。程序由流程所有人制定，是對(duì)政策的有效解釋*風(fēng)險(xiǎn)管理是組織用于識(shí)別信息資源的脆弱性及威脅，制定相應(yīng)的對(duì)策（安全措施或控制），以實(shí)現(xiàn)組織業(yè)務(wù)目標(biāo)的過(guò)程。*安全政策必須在控制水平與生產(chǎn)效率之間進(jìn)行平衡，控制成本決不能超過(guò)控制所帶來(lái)的預(yù)期收益。信息安全政策指導(dǎo)整個(gè)組織來(lái)確定所需保護(hù)的內(nèi)容、相應(yīng)的保護(hù)職責(zé)以及保護(hù)工作應(yīng)遵循的策略。應(yīng)當(dāng)按照計(jì)劃周期或當(dāng)發(fā)生重大變化時(shí)對(duì)信息安全政策進(jìn)行審查，以確保其適當(dāng)性、充分性和有效性。應(yīng)當(dāng)為信息安全政策指定所有人，來(lái)批準(zhǔn)安全政策的制定、審查和評(píng)估等管理職責(zé)。信息系統(tǒng)職責(zé)分離的原則：資產(chǎn)保管授權(quán)交易記錄任何風(fēng)險(xiǎn)，都應(yīng)當(dāng)基于信息資源對(duì)組織的價(jià)值，將其降低至可接受水平。有效的風(fēng)險(xiǎn)管理始于清楚的理解組織的風(fēng)險(xiǎn)偏好。在IT環(huán)境下，風(fēng)險(xiǎn)偏好推動(dòng)所有的風(fēng)險(xiǎn)管理工作，影響未來(lái)的技術(shù)投資，IT資產(chǎn)的保護(hù)程度及所需的保證水平。*風(fēng)險(xiǎn)管理包括識(shí)別、分析、評(píng)估、處置和溝通 IT流程的風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)的對(duì)應(yīng)措施：避免風(fēng)險(xiǎn)、降低風(fēng)險(xiǎn)、轉(zhuǎn)移風(fēng)險(xiǎn)、接受風(fēng)險(xiǎn)為制定風(fēng)險(xiǎn)管理程序，必須：、確定風(fēng)險(xiǎn)管理程序的目的、為風(fēng)險(xiǎn)管理計(jì)劃分配職責(zé)風(fēng)險(xiǎn)管理過(guò)程第一步是對(duì)信息資產(chǎn)或資源進(jìn)行標(biāo)識(shí)并分類；第二步是評(píng)估與信息資產(chǎn)相關(guān)的威脅和脆弱性，及其發(fā)生的可能性；威脅的發(fā)生是由于信息資產(chǎn)存在脆弱性，脆弱性是信息資源的特性，可以被威脅利用并造成損害發(fā)生任何威脅所造成的結(jié)果稱為影響，它能導(dǎo)致這種或那種損失信息系統(tǒng)管理實(shí)務(wù)反映的是為各種信息系統(tǒng)相關(guān)管理活動(dòng)所設(shè)計(jì)的政策與程序的實(shí)施情況CIA要求：機(jī)密性、完整性和可用性服務(wù)臺(tái)應(yīng)建立正式流程來(lái)分別記錄已報(bào)告、已解決和升級(jí)的問(wèn)題，并對(duì)問(wèn)題和疑難進(jìn)行分析，以幫助監(jiān)督用戶和改善信息處理設(shè)施（IPF）的服務(wù)在計(jì)算機(jī)運(yùn)行中，管理控制可以劃分為物理安全控制、數(shù)據(jù)安全控制和處理控制三個(gè)類別控制組負(fù)責(zé)收集、轉(zhuǎn)換和控制輸入，核對(duì)結(jié)果并向用戶分發(fā)輸出結(jié)果數(shù)據(jù)錄入人員由控制組管理，因此數(shù)據(jù)錄入不一定是最終用戶安全管理應(yīng)首先得到管理層的支持，管理層必須了解并評(píng)估安全風(fēng)險(xiǎn)，制定書(shū)面政策清晰地說(shuō)明應(yīng)遵循的標(biāo)準(zhǔn)和規(guī)程，并強(qiáng)制執(zhí)行為保證充分的職責(zé)分離，安全管理員應(yīng)當(dāng)是全職員工，可以直接向基礎(chǔ)設(shè)施主管報(bào)告質(zhì)量保證人員通常執(zhí)行兩種不同任務(wù)：質(zhì)量保證（QA）—幫助信息系統(tǒng)部門確保其人員遵守規(guī)定的質(zhì)量程序質(zhì)量控制（QC）—負(fù)責(zé)執(zhí)行測(cè)試或?qū)彶?，以?yàn)證并確保軟件不存在缺陷并滿足用戶預(yù)期。質(zhì)量控制（QC）可以在系統(tǒng)開(kāi)發(fā)的各個(gè)階段進(jìn)行，但必須在程序被遷移到生產(chǎn)環(huán)境之前進(jìn)行在任何情況下都不應(yīng)當(dāng)讓個(gè)人對(duì)自己所負(fù)責(zé)的工作執(zhí)行質(zhì)量審查針對(duì)數(shù)據(jù)庫(kù)管理員（DBA）的嚴(yán)格控制：、職責(zé)分離、DBA活動(dòng)需要得到管理層批準(zhǔn)、由主管對(duì)訪問(wèn)日志和相關(guān)活動(dòng)進(jìn)行審查、對(duì)數(shù)據(jù)庫(kù)工具的使用事實(shí)檢查性控制必須確保應(yīng)用程序員不能修改生產(chǎn)環(huán)境中的程序和應(yīng)用數(shù)據(jù)，他們應(yīng)當(dāng)只能在測(cè)試環(huán)境下工作，由另外的團(tuán)隊(duì)把程序和應(yīng)用變更遷移到生產(chǎn)環(huán)境中。在小型機(jī)構(gòu)中，網(wǎng)絡(luò)管理員可以負(fù)責(zé)局域網(wǎng)的安全管理，擁有系統(tǒng)程序員及最終用戶的職責(zé)，但不應(yīng)當(dāng)擁有應(yīng)用程序員編程的職責(zé)應(yīng)當(dāng)分離的職責(zé)包括：資產(chǎn)保管、授權(quán)、交易記錄職責(zé)分離的目標(biāo)是：通過(guò)識(shí)別補(bǔ)償性控制來(lái)降低或消除業(yè)務(wù)風(fēng)險(xiǎn)訪問(wèn)控制決策應(yīng)基于組織政策和兩個(gè)普遍接受的實(shí)踐標(biāo)準(zhǔn)：職責(zé)分離最小授權(quán)原則用戶部門應(yīng)提交授權(quán)單；信息系統(tǒng)部門根據(jù)授權(quán)單維護(hù)用戶授權(quán)表審計(jì)痕跡的主要目的是建立交付處理的業(yè)務(wù)交易的職責(zé)（可追溯責(zé)任）。針對(duì)職責(zé)分離的補(bǔ)償性控制：、審計(jì)軌跡—在缺乏職責(zé)分離時(shí)，詳細(xì)的審計(jì)軌跡將是可接受的補(bǔ)償性控制、核對(duì)—核對(duì)是用戶的最終責(zé)任，還可以增加控制組使用控制總計(jì)和平衡表對(duì)應(yīng)用系統(tǒng)執(zhí)行部分核對(duì)功能、例外報(bào)告—應(yīng)當(dāng)由主管層處理并且需要留下證據(jù)、交易日志—可以時(shí)電子也可以手工、監(jiān)督性審核—可以通過(guò)現(xiàn)場(chǎng)觀察、訪談或遠(yuǎn)程執(zhí)行、獨(dú)立性審核—執(zhí)行獨(dú)立審核是對(duì)錯(cuò)誤或故意違反既定流程的補(bǔ)償性控制，在職責(zé)不能恰當(dāng)分離的小型組織中尤其重要審計(jì)過(guò)程中應(yīng)該審計(jì)的文檔：IT戰(zhàn)略、規(guī)劃和預(yù)算安全政策文檔組織圖或職能圖工作說(shuō)明指導(dǎo)委員會(huì)報(bào)告系統(tǒng)開(kāi)發(fā)和程序變更流程操作流程人力資源手冊(cè)質(zhì)量保證程序信息系統(tǒng)審計(jì)師應(yīng)當(dāng)驗(yàn)證管理層在合同過(guò)程中的參與程度，確保按適當(dāng)?shù)闹芷趯?duì)合同遵循性進(jìn)行審查。制定IT服務(wù)外包決策應(yīng)考慮的問(wèn)題：服務(wù)質(zhì)量、持續(xù)服務(wù)保證、控制程序、競(jìng)爭(zhēng)優(yōu)勢(shì)和技術(shù)知識(shí)外包實(shí)允許組織把服務(wù)交付轉(zhuǎn)由第三方提供的機(jī)制。外包的基本原則是：雖然將服務(wù)交付轉(zhuǎn)移，但其職責(zé)仍屬于組織內(nèi)管理層，他們必須確保對(duì)風(fēng)險(xiǎn)的適當(dāng)管理及供應(yīng)商持續(xù)的價(jià)值交付。外包應(yīng)注意：數(shù)據(jù)所有權(quán)，知識(shí)產(chǎn)權(quán)，審計(jì)權(quán)（或獨(dú)立的第三方審計(jì)報(bào)告）IT目標(biāo)應(yīng)當(dāng)是改善用戶滿意度并實(shí)現(xiàn)業(yè)務(wù)目標(biāo)。應(yīng)當(dāng)通過(guò)用戶訪談和調(diào)查來(lái)監(jiān)督用戶滿意度質(zhì)量管理是控制、衡量和改善IS部門流程的一種方法信息系統(tǒng)部門制定并維護(hù)的書(shū)面流程是有效管理信息資源的證據(jù)，堅(jiān)持遵守流程及相關(guān)流程管理技術(shù)是信息系統(tǒng)部門有效運(yùn)營(yíng)的關(guān)鍵因素?？?jī)效評(píng)價(jià)的主要階段有：、制定和更新績(jī)效指標(biāo)、為績(jī)效指標(biāo)建立責(zé)任制、收集和分析績(jī)效數(shù)據(jù)、報(bào)告和使用績(jī)效信息績(jī)效指標(biāo)用途、衡量產(chǎn)品和服務(wù)、管理產(chǎn)品和服務(wù)、確保責(zé)任制、制定預(yù)算決策、優(yōu)化績(jī)效針對(duì)職責(zé)分離的補(bǔ)償性控制：審計(jì)蹤跡、核對(duì)、例外報(bào)告、交易日志、監(jiān)督性審核、獨(dú)立性審核（在不能進(jìn)行有效職責(zé)分離的小型組織尤其重要，可以幫助發(fā)現(xiàn)錯(cuò)誤或違規(guī)行為）業(yè)務(wù)連續(xù)性計(jì)劃（BCP）——涉及組織內(nèi)絕大多數(shù)部門；災(zāi)難恢復(fù)計(jì)劃（DRP）——涉及IT及相關(guān)部門BCP責(zé)任屬于高級(jí)管理層，高級(jí)管理層不能將責(zé)任分到下屬業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)當(dāng)基于長(zhǎng)期的IT計(jì)劃，并與組織總體業(yè)務(wù)連續(xù)性戰(zhàn)略一致業(yè)務(wù)連續(xù)性計(jì)劃和災(zāi)難恢復(fù)的目的是使組織在中斷事件后可以持續(xù)提供關(guān)鍵服務(wù)并從災(zāi)難中斷中恢復(fù)其活動(dòng)；災(zāi)難恢復(fù)（DRP）與業(yè)務(wù)連續(xù)性計(jì)劃（BCP）是組織為避免關(guān)鍵業(yè)務(wù)功能因重大災(zāi)難而中斷，減少業(yè)務(wù)風(fēng)險(xiǎn)而建立的一個(gè)控制過(guò)程； 是業(yè)務(wù)流程，不是一個(gè)項(xiàng)目 。BCP主要是組織高級(jí)管理層的責(zé)任，因?yàn)楦呒?jí)管理層對(duì)組織的資產(chǎn)和生存負(fù)有最高責(zé)任；高級(jí)管理層不能推托將責(zé)任委托給下級(jí)人員。BCP計(jì)劃不是所有的業(yè)務(wù)流程都要恢復(fù)（只恢復(fù)關(guān)鍵流程），也不是所有的服務(wù)都需要恢復(fù)，關(guān)鍵的目標(biāo)是滿足客戶的需求。*BCP維護(hù)的一個(gè)重要步驟：組織內(nèi)任何相關(guān)變化產(chǎn)生時(shí)都要進(jìn)行 BCP的更新和演練業(yè)務(wù)連續(xù)性計(jì)劃（BCP）是組織為避免業(yè)務(wù)功能/運(yùn)作中斷，減少業(yè)務(wù)風(fēng)險(xiǎn)而建立的一個(gè)控制流程，包括對(duì)支持組織關(guān)鍵業(yè)務(wù)的人力、物力需求和關(guān)鍵業(yè)務(wù)所需的最小級(jí)別服務(wù)水平的連續(xù)性保證。準(zhǔn)備一個(gè)新的BCP的第一步師識(shí)別戰(zhàn)略性的業(yè)務(wù)流程，這些關(guān)鍵流程是業(yè)務(wù)持續(xù)增長(zhǎng)和實(shí)現(xiàn)業(yè)務(wù)目標(biāo)的保證風(fēng)險(xiǎn)管理在BCP的準(zhǔn)備階段被關(guān)注。無(wú)論發(fā)生何種中斷，關(guān)注的焦點(diǎn)永遠(yuǎn)是關(guān)鍵業(yè)務(wù)流程的可用和持續(xù)運(yùn)行*如果信息系統(tǒng)的 BCP與DRP需要單獨(dú)建立，必須與組織的總的 BCP計(jì)劃保持一致。不存在單獨(dú)的DRP計(jì)劃，一定先有BCP才會(huì)有DRP。一個(gè)整合的BCP計(jì)劃必須確保：每個(gè)部分都被涵蓋承諾的資源被最有效的方式使用，并有充分證明通過(guò)它組織可以克服中斷生存下去災(zāi)難：把發(fā)生概率極小，但沖擊極大一個(gè)業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)當(dāng)識(shí)別出當(dāng)發(fā)生災(zāi)難時(shí)，業(yè)務(wù)應(yīng)當(dāng)做什么保證恢復(fù)的成本永遠(yuǎn)不要超過(guò)所獲得的利益流感大流行的到來(lái)具有很強(qiáng)的不確定性，對(duì)社會(huì)和經(jīng)濟(jì)的影響與威脅是確定的。流感大流行特點(diǎn)是系統(tǒng)、設(shè)備沒(méi)有問(wèn)題，但是人沒(méi)有了。流感大流行的應(yīng)對(duì)規(guī)劃和傳統(tǒng)的業(yè)務(wù)連續(xù)性規(guī)劃不同，信息系統(tǒng)審計(jì)師應(yīng)評(píng)價(jià)組織對(duì)流感大流行的準(zhǔn)備；流感大流行的影響由于范圍和持續(xù)時(shí)間不同難以確定。危機(jī)溝通范圍：內(nèi)部：股東、員工外部：新聞媒體、政府危機(jī)溝通中，除發(fā)言人外，組織中的任何其他人不管官居何職，都不得發(fā)布任何公共言論BCP主要針對(duì)服務(wù)中斷BCP是糾正性控制根據(jù)對(duì)業(yè)務(wù)危害程度的估計(jì)，對(duì)各種事件進(jìn)行分類：可忽略事件、微小事件、重大事件、危險(xiǎn)事件，在事件被解決前，任何對(duì)它的分類都是臨時(shí)性的BCP過(guò)程分為：1、創(chuàng)建業(yè)務(wù)連續(xù)性方針/政策2、風(fēng)險(xiǎn)分析RA3、 運(yùn)行分類及重要性分析、識(shí)別支持關(guān)鍵組織功能的信息系統(tǒng)流程、開(kāi)發(fā)BCP策略、開(kāi)發(fā)業(yè)務(wù)連續(xù)性計(jì)劃和DRP步驟、開(kāi)發(fā)重建程序、培訓(xùn)與意識(shí)教育程序、計(jì)劃的演練與實(shí)施、監(jiān)測(cè)BIA之后做策略供管理層選擇，管理層批準(zhǔn)后，制定計(jì)劃執(zhí)行BIA的方法：、設(shè)計(jì)詳細(xì)的調(diào)查問(wèn)卷，分發(fā)給重要業(yè)務(wù)人員和IT人員（用戶多，分布廣，問(wèn)題標(biāo)準(zhǔn)化）、拜訪關(guān)鍵用戶，通過(guò)面談收集信息（問(wèn)題復(fù)雜）、把IT和終端用戶召集，討論得到結(jié)論（跨部門）信息系統(tǒng)審計(jì)師應(yīng)該分析過(guò)去的事務(wù)量以確定在系統(tǒng)不可用期間對(duì)業(yè)務(wù)的影響程度BIA目標(biāo)：業(yè)務(wù)、利潤(rùn)；合規(guī)；合同約定、承諾對(duì)BIA應(yīng)用的重要性分類：關(guān)鍵的——必須立即恢復(fù)（中斷幾小時(shí)到一天）重要的——短時(shí)間人工替代（1~5天）敏感的——長(zhǎng)時(shí)間人工替代（一周以上）不敏感——可完全手工替代BIA中關(guān)鍵業(yè)務(wù)流程由流程所有者確定，由高級(jí)管理層批準(zhǔn)BIA之后先做恢復(fù)策略RPO越小，最低可接受損失就越少，就需要采用鏡像或磁盤雙工技術(shù)在制定DRP計(jì)劃時(shí)需要RPO值RTO指業(yè)務(wù)恢復(fù)。HR的員工手冊(cè)中必須有人員撤離計(jì)劃RPO影響備份技術(shù)的選擇RTO越小，對(duì)災(zāi)難容忍程度就越低，就只能選擇“熱站”完全不允許停機(jī)——雙生產(chǎn)中心（冗災(zāi)中心、鏡像站點(diǎn)）災(zāi)難恢復(fù)策略其他參數(shù)：中斷窗口：組織能夠等待的自失效點(diǎn)時(shí)刻到關(guān)鍵服務(wù)應(yīng)用恢復(fù)的時(shí)刻服務(wù)交付目標(biāo)（SDO）：直到正常的生產(chǎn)系統(tǒng)恢復(fù)運(yùn)營(yíng)，由替代流程實(shí)現(xiàn)的服務(wù)水平。這直接與業(yè)務(wù)需求相關(guān)最大可容忍中斷：組織使用備用方式支持的生產(chǎn)處理的最長(zhǎng)時(shí)間災(zāi)難必須由授權(quán)人員宣告管理層與員工積極參與是BCP成功的重要因素如果組織中不存在統(tǒng)一的業(yè)務(wù)連續(xù)性計(jì)劃，針對(duì)信息系統(tǒng)的BCP需要覆蓋整個(gè)依賴信息系統(tǒng)服務(wù)的部門和單位恢復(fù)策略的選擇基于下列因素：、業(yè)務(wù)流程及支持此流程的應(yīng)用系統(tǒng)的重要性；、成本；、組織要求的恢復(fù)時(shí)間；、安全?；謴?fù)成本不應(yīng)大于停機(jī)成本最適合的恢復(fù)策略的選擇，首先要通過(guò)業(yè)務(wù)影響分析確定風(fēng)險(xiǎn)和重要性級(jí)別，然后通過(guò)比較恢復(fù)成本和停機(jī)成本來(lái)決定。熱站的安全級(jí)別不是最高的，最高安全級(jí)別的應(yīng)該是鏡像冗余站點(diǎn)，或者是雙生產(chǎn)中心熱戰(zhàn)：除應(yīng)用程序、數(shù)據(jù)、文件以及操作人員外其他全部齊全溫站：在熱站基礎(chǔ)上減少主機(jī)冷站：只有基本環(huán)境，電、空調(diào)、場(chǎng)地高級(jí)管理人員是BCP關(guān)鍵決策制定者，具有決定啟動(dòng)計(jì)劃的最終裁定權(quán)與業(yè)務(wù)連續(xù)性計(jì)劃相關(guān)的部門有：服務(wù)支持部門、業(yè)務(wù)運(yùn)行部門、信息處理支持部門BCP演練的各個(gè)階段：預(yù)演練階段、演練階段、演練后續(xù)階段演練類型：紙上推演、預(yù)備性演練、全面運(yùn)行演練*如果信息系統(tǒng)的 BCP和DRP需要單獨(dú)建立，必須與組織的總的 BCP計(jì)劃保持一致。在管理層選擇了適用的恢復(fù)策略后，下一步的目標(biāo)就是制定詳細(xì)的業(yè)務(wù)連續(xù)性計(jì)劃和災(zāi)難恢復(fù)計(jì)劃，并在異地備份場(chǎng)所存放一份計(jì)劃的拷貝，最好是紙質(zhì)首先用戶和管理層的參與是識(shí)別關(guān)鍵資源的基礎(chǔ)，其次要由他們來(lái)決定關(guān)鍵的恢復(fù)時(shí)間和定義所需的資源。應(yīng)急管理小組通常由高級(jí)管理人員領(lǐng)導(dǎo)當(dāng)VOIP作為組織的唯一通信線路時(shí)，要考慮備份冷熱溫站合同事項(xiàng)：、配備—包括軟件和硬件是否滿足需要、災(zāi)難—對(duì)災(zāi)難的定義是否滿足預(yù)期需要、啟用速度—多長(zhǎng)時(shí)間可以啟用、每個(gè)站點(diǎn)的申請(qǐng)者—是否限制每個(gè)站點(diǎn)申請(qǐng)者的數(shù)量、每個(gè)區(qū)域的申請(qǐng)者、優(yōu)先權(quán)、保險(xiǎn)、站點(diǎn)使用期限、通訊能力、服務(wù)承諾、審計(jì)條款、測(cè)試權(quán)限、恢復(fù)站點(diǎn)的可靠性證明BCP演練目標(biāo)：1、驗(yàn)證BCP的完全性或準(zhǔn)確性；2、評(píng)價(jià)BCP演練中個(gè)人的績(jī)效；3、評(píng)價(jià)對(duì)非BCP團(tuán)隊(duì)成員的其他員工的教育與培訓(xùn)；4、評(píng)價(jià)BCP團(tuán)隊(duì)與外部供應(yīng)商之間的協(xié)調(diào)性；、通過(guò)實(shí)施預(yù)定的程序來(lái)演練備份站點(diǎn)的能力與容量；、評(píng)估重要記錄的檢索能力；、評(píng)價(jià)要轉(zhuǎn)移到恢復(fù)站點(diǎn)的設(shè)備的狀態(tài)、數(shù)量及供應(yīng)情況；、評(píng)價(jià)與維護(hù)業(yè)務(wù)實(shí)體有關(guān)的運(yùn)行活動(dòng)和信息系統(tǒng)處理活動(dòng)的績(jī)效對(duì)備份存儲(chǔ)位置的邏輯以及物理安全要求應(yīng)該與生產(chǎn)中心的級(jí)別一致異地備份庫(kù)管理員的責(zé)任：、維護(hù)一個(gè)永久的備份存儲(chǔ)介質(zhì)的庫(kù)目錄（可以手工或者自動(dòng)）；、控制對(duì)這些存儲(chǔ)介質(zhì)的訪問(wèn)；、根據(jù)需要，控制存儲(chǔ)介質(zhì)在不同的庫(kù)中循環(huán)流通；、維護(hù)一份BCP拷貝。制定和維護(hù)一個(gè)DRP與BCP應(yīng)該：、執(zhí)行BIA；、識(shí)別各類資源并分類；、選擇策略恢復(fù)IT設(shè)施，支持關(guān)鍵業(yè)務(wù)流程；、制定詳細(xì)計(jì)劃恢復(fù)IT設(shè)施（DRP）；、制定詳細(xì)計(jì)劃保證關(guān)鍵業(yè)務(wù)運(yùn)行（BCP）；、測(cè)試計(jì)劃；、當(dāng)業(yè)務(wù)和系統(tǒng)環(huán)境發(fā)生變化時(shí)，維護(hù)與更新計(jì)劃。BCP計(jì)劃更新日期都是30天備份和介質(zhì)的選擇因素：、標(biāo)準(zhǔn)化——技術(shù)支持、容量——滿足需求、速度——與業(yè)務(wù)要求一致、成本——包括設(shè)備和介質(zhì)的成本備份的方法：全備(最慢)、增量（最快）、差分（一般）呼叫樹(shù)清單每個(gè)月都需要核實(shí)*計(jì)劃演練目的：找出錯(cuò)誤、不足，沒(méi)有控制的點(diǎn)； 個(gè)人績(jī)效全面運(yùn)行演練不能由演練變成真正的災(zāi)難審核BCP計(jì)劃：是否覆蓋關(guān)鍵業(yè)務(wù)流程業(yè)務(wù)連續(xù)性計(jì)劃中緊急逃生最重要，人的安全永遠(yuǎn)排在第一位第三章信息系統(tǒng)與基礎(chǔ)設(shè)施生命周期管理項(xiàng)目的定義：、項(xiàng)目是一項(xiàng)有待完成的任務(wù)，且有特定環(huán)境與要求、在一定的組織機(jī)構(gòu)內(nèi)，利用有限資源（人力、物力、財(cái)務(wù)等）在規(guī)定的時(shí)間內(nèi)完成任務(wù)、任務(wù)要滿足一定性能、質(zhì)量、數(shù)量、技術(shù)指標(biāo)等要求。項(xiàng)目一定有截至點(diǎn),不能無(wú)限期延續(xù)；一定在有限的時(shí)間、有限的預(yù)算內(nèi)。交付物是可以長(zhǎng)期保存的。軟件項(xiàng)目一旦交付到生產(chǎn)環(huán)境后應(yīng)立即交割給運(yùn)維人員。項(xiàng)目的目標(biāo)應(yīng)該包括成果性目標(biāo)和約束性目標(biāo)，滿足客戶、管理層和供應(yīng)商在時(shí)間、費(fèi)用和性能上的不同需求。項(xiàng)目群可以看成是由一系列項(xiàng)目和有時(shí)間邊界的任務(wù)組成，這些項(xiàng)目和任務(wù)通過(guò)共同的目標(biāo)、共同的預(yù)算、相互交織的日程和策略等緊密的聯(lián)系在一起。成功的實(shí)施項(xiàng)目群，需要對(duì)以下內(nèi)容進(jìn)行有效管理：、項(xiàng)目群的范圍、財(cái)務(wù)、日程、目標(biāo)及交付物；、項(xiàng)目群所處的環(huán)境；、項(xiàng)目群的溝通與文化；、項(xiàng)目群的組織。項(xiàng)目群中典型的溝通結(jié)構(gòu)就是召開(kāi)項(xiàng)目群所有者會(huì)議和項(xiàng)目群團(tuán)隊(duì)會(huì)議項(xiàng)目管理辦公室是項(xiàng)目管理和項(xiàng)目群管理過(guò)程的所有者，它必須是永久性的組織結(jié)構(gòu)，需要配置充足的人員，以對(duì)當(dāng)前的項(xiàng)目管理提供充分的支持，同時(shí)開(kāi)發(fā)新的程序和標(biāo)準(zhǔn)。項(xiàng)目管理辦公室只涉及項(xiàng)目管理程序中的活動(dòng)和任務(wù)，并不涉及具體的項(xiàng)目?jī)?nèi)容。在一個(gè)給定的時(shí)間點(diǎn)上，組織中正在進(jìn)行的所有的項(xiàng)目的集合稱為項(xiàng)目組合。項(xiàng)目組合的管理目的：、優(yōu)化項(xiàng)目組合的結(jié)果、對(duì)項(xiàng)目?jī)?yōu)先級(jí)排序，進(jìn)行日程安排、協(xié)調(diào)對(duì)資源的使用、項(xiàng)目中的知識(shí)傳遞項(xiàng)目是短期的、戰(zhàn)術(shù)性的項(xiàng)目群是長(zhǎng)期的、戰(zhàn)略性的項(xiàng)目組合具有管理周期（每季度或每年）應(yīng)追求整體項(xiàng)目組合的收益最大化。規(guī)劃IT項(xiàng)目時(shí)首先需要進(jìn)行業(yè)務(wù)利益分析（商業(yè)案例/BusinessCass），組織可以獲得的業(yè)務(wù)利益是實(shí)施IT項(xiàng)目的源動(dòng)力。*組織可以獲得的業(yè)務(wù)收益才是實(shí)施 IT項(xiàng)目的源動(dòng)力規(guī)劃IT項(xiàng)目時(shí)，首先要考慮業(yè)務(wù)模式（商業(yè)模式、業(yè)務(wù)案例）可行性分析時(shí)業(yè)務(wù)模式分析的一種在可行性研究分析時(shí)就必須決定軟件系統(tǒng)是自己開(kāi)發(fā)還是購(gòu)買。對(duì)項(xiàng)目進(jìn)行充分詳細(xì)的業(yè)務(wù)模式分析，作為啟動(dòng)和持續(xù)一個(gè)項(xiàng)目的驗(yàn)證條件，為項(xiàng)目的實(shí)施提供一個(gè)合理的理由業(yè)務(wù)模式分析是項(xiàng)目生命周期中各個(gè)決策過(guò)程的關(guān)鍵因素，無(wú)論在項(xiàng)目的哪一個(gè)階段，如果業(yè)務(wù)模式分析表明由于成本增加或預(yù)期的利益不能實(shí)現(xiàn)使得項(xiàng)目不再有意義時(shí)，項(xiàng)目發(fā)起人或指導(dǎo)委員會(huì)應(yīng)當(dāng)考慮是否要終止項(xiàng)目的執(zhí)行。業(yè)務(wù)利益由誰(shuí)來(lái)驗(yàn)證。項(xiàng)目管理的四個(gè)要素：環(huán)境、資源、目標(biāo)、組織項(xiàng)目管理的方式是目標(biāo)管理。在一個(gè)良好定義的項(xiàng)目中，通常建立了一些決策點(diǎn)，有時(shí)稱為“階段點(diǎn)”或“生死點(diǎn)”，在這些點(diǎn)上進(jìn)行業(yè)務(wù)模式分析后決定當(dāng)前的項(xiàng)目是否依然有意義。如果IT項(xiàng)目實(shí)施階段中其業(yè)務(wù)模式發(fā)生變化，應(yīng)當(dāng)通過(guò)部門規(guī)劃和審批流程對(duì)項(xiàng)目重新進(jìn)行評(píng)估和批準(zhǔn)實(shí)施后評(píng)審：在項(xiàng)目實(shí)施后6~18個(gè)月進(jìn)行，評(píng)價(jià)利益實(shí)現(xiàn)程度，獨(dú)立于項(xiàng)目實(shí)施的審計(jì)師進(jìn)行評(píng)審有關(guān)項(xiàng)目的所有治理決策應(yīng)當(dāng)由業(yè)務(wù)效益驅(qū)動(dòng)，并進(jìn)行周期性評(píng)審信息系統(tǒng)項(xiàng)目可以由組織的任何一部分啟動(dòng)，包括信息系統(tǒng)部門項(xiàng)目管理的一般過(guò)程：?jiǎn)?dòng)、計(jì)劃、執(zhí)行、控制、收尾（其中控制過(guò)程，貫穿整個(gè)項(xiàng)目實(shí)施過(guò)程）業(yè)務(wù)過(guò)程的設(shè)計(jì)方法也同樣適用于項(xiàng)目管理過(guò)程項(xiàng)目環(huán)境最關(guān)鍵就是一把手工程。項(xiàng)目管理的組織規(guī)劃：1、職能式組織形式：項(xiàng)目經(jīng)理僅作為一個(gè)成員，沒(méi)有正式管理權(quán)權(quán)限無(wú)2、項(xiàng)目式組織形式：項(xiàng)目經(jīng)理有正式授權(quán)負(fù)責(zé)項(xiàng)目權(quán)限高3、矩陣式組織形式：項(xiàng)目經(jīng)理與部門經(jīng)理同時(shí)共同分擔(dān)管理權(quán)限權(quán)限中用戶管理部門擁有項(xiàng)目和最終系統(tǒng)的所有權(quán)，當(dāng)系統(tǒng)被定義和完成時(shí)，用戶管理部門應(yīng)當(dāng)評(píng)價(jià)和批準(zhǔn)系統(tǒng)的交付。安全主管評(píng)價(jià)安全測(cè)試計(jì)劃并在實(shí)施之前進(jìn)行報(bào)告項(xiàng)目發(fā)起人對(duì)項(xiàng)目指導(dǎo)委員會(huì)負(fù)責(zé)；項(xiàng)目經(jīng)理負(fù)責(zé)項(xiàng)目的日?；顒?dòng)；關(guān)鍵用戶在需求分析階段、測(cè)試階段需要積極參與；用戶培訓(xùn)在測(cè)試階段進(jìn)行，主要培訓(xùn)怎么使用軟件。在測(cè)試階段用戶需要參與測(cè)試案例的開(kāi)發(fā)。QA獨(dú)立整個(gè)項(xiàng)目組，對(duì)整個(gè)項(xiàng)目的活動(dòng)做獨(dú)立的評(píng)價(jià)。項(xiàng)目溝通文化：各類會(huì)議項(xiàng)目分解結(jié)構(gòu)：1、先建立對(duì)象分解結(jié)構(gòu)（ OBS）2、建立項(xiàng)目工作分解結(jié)構(gòu)（ WBS）3、WBS不包括方案中基本元素，表示為工作包（ WPS）永遠(yuǎn)不能靠忽視質(zhì)量來(lái)滿足工期、時(shí)間、資源的要求。也不能忽略測(cè)試；在特別的情況下，只能減少功能。成功的項(xiàng)目計(jì)劃的全面特征式項(xiàng)目基于風(fēng)險(xiǎn)的管理過(guò)程而且本身是互動(dòng)的。項(xiàng)目中三個(gè)元素/緯度必須考慮1、時(shí)間/持續(xù)時(shí)間需要花多少時(shí)間才能完成項(xiàng)目2、成本/資源需要花費(fèi)多少3、交付品什么是必須做的軟件規(guī)模評(píng)估：源代碼行數(shù)、功能點(diǎn)分析（FPA）、FPA特征點(diǎn)源代碼行數(shù)評(píng)估結(jié)構(gòu)化程序語(yǔ)言（BASIC、COBOL）有用，其他不行，尤其業(yè)務(wù)功能不行功能點(diǎn)分析（FPA）廣泛用于評(píng)估開(kāi)發(fā)大型業(yè)務(wù)應(yīng)用的復(fù)雜性。功能點(diǎn)分析的結(jié)果用于度量基于輸入、輸出、文件、接口和查詢系統(tǒng)的規(guī)模FPA特征點(diǎn)分析對(duì)于網(wǎng)站應(yīng)用，能有效估算特征點(diǎn)、訪問(wèn)規(guī)則、頁(yè)面鏈接和存儲(chǔ)有關(guān)的應(yīng)用項(xiàng)目評(píng)審技術(shù)（PERT）是一種網(wǎng)絡(luò)管理技術(shù)，常用于充分計(jì)劃的系統(tǒng)開(kāi)發(fā)項(xiàng)目。甘特圖的缺點(diǎn)：無(wú)法表現(xiàn)任務(wù)之間的邏輯關(guān)系PERT時(shí)間計(jì)算=（樂(lè)觀完成時(shí)間+4X最可能完成的時(shí)間+悲觀完成時(shí)間）/6先用PERT算出每個(gè)工作的工期，然后再用關(guān)鍵路徑法關(guān)鍵路徑法中，有多條路的時(shí)候找最長(zhǎng)的路。也就要確保整個(gè)路徑圖中所有任務(wù)能在計(jì)算出的時(shí)間內(nèi)完成。關(guān)鍵路徑中的松弛時(shí)間為0*設(shè)計(jì)系統(tǒng)開(kāi)發(fā)項(xiàng)目的PERT網(wǎng)絡(luò)時(shí)，第一步是識(shí)別所有的任務(wù)、項(xiàng)目的相關(guān)事件/里程碑和它們相對(duì)應(yīng)次序時(shí)間盒管理是項(xiàng)目管理方法原型法的項(xiàng)目管理方法是時(shí)間盒管理時(shí)間盒管理中：時(shí)間、質(zhì)量、資源不可變，只有功能可以變時(shí)間盒管理是在一個(gè)相對(duì)短的、絕對(duì)的和不許變更的時(shí)間以及有限資源的情況下，定義和部署軟件交付產(chǎn)品。時(shí)間盒方法主要優(yōu)點(diǎn)是避免項(xiàng)目成本超支以及進(jìn)度拖延時(shí)間盒方法由于最終用戶的參與，測(cè)試用例的準(zhǔn)備和測(cè)試需求很容易達(dá)到，系統(tǒng)測(cè)試和用戶接受測(cè)試通?？梢砸黄饒?zhí)行。項(xiàng)目控制活動(dòng)包括項(xiàng)目的范圍管理，資源使用和風(fēng)險(xiǎn)管理。記錄項(xiàng)目新的需求并在批準(zhǔn)后分配合適的資源。范圍變更管理：變更請(qǐng)求必須提交項(xiàng)目經(jīng)理項(xiàng)目經(jīng)理提交項(xiàng)目咨詢顧問(wèn)委員會(huì)決定是否建議變更項(xiàng)目出資人決定是否變更項(xiàng)目出資人有最后決定是否變更的決定權(quán)。項(xiàng)目過(guò)程的變更控制就是確保項(xiàng)目的完成時(shí)間，項(xiàng)目資金的使用和項(xiàng)目質(zhì)量達(dá)到利益相關(guān)方的預(yù)期系統(tǒng)開(kāi)發(fā)生命周期（SDLC）一般具有開(kāi)發(fā)、實(shí)施、維護(hù)和廢止階段項(xiàng)目資源利用采用EVA掙值分析項(xiàng)目風(fēng)險(xiǎn)主要有：、對(duì)業(yè)務(wù)收益產(chǎn)生沖擊（及對(duì)項(xiàng)目的存在性構(gòu)成風(fēng)險(xiǎn)）——項(xiàng)目投資人、對(duì)項(xiàng)目本身產(chǎn)生風(fēng)險(xiǎn)的——項(xiàng)目經(jīng)理V模型中：用戶需求——接受測(cè)試 UAT功能需求——系統(tǒng)測(cè)試概要設(shè)計(jì)——集成測(cè)試詳細(xì)設(shè)計(jì)——單元測(cè)試編寫代碼V模型中：、單元測(cè)試用于驗(yàn)證詳細(xì)設(shè)計(jì)的正確性；、集成測(cè)試是用于驗(yàn)證各單元集成后的正確性、系統(tǒng)測(cè)試用于驗(yàn)證系統(tǒng)總體功能與架構(gòu)的正確性、用戶接受測(cè)試是用戶為了驗(yàn)證軟件是否實(shí)現(xiàn)了用戶需求開(kāi)發(fā)的業(yè)務(wù)應(yīng)用系統(tǒng)一般都可以歸為兩種類型：組織中心計(jì)算型（采用SDLC生命周期方法）用戶中心計(jì)算型SDLC也被稱為瀑布式開(kāi)發(fā)技術(shù)，是一種系統(tǒng)的、順序式的軟件開(kāi)發(fā)方法，從可行性研究開(kāi)始，通過(guò)需求定義、設(shè)計(jì)、開(kāi)發(fā)、實(shí)施和實(shí)施后維護(hù)等階段而逐步發(fā)展，建立了相應(yīng)的責(zé)任、預(yù)期的結(jié)果和完成目標(biāo)的日期。SDLC需求定義：描述系統(tǒng)應(yīng)該做的，用戶如何與系統(tǒng)交互，系統(tǒng)運(yùn)行的條件，系統(tǒng)應(yīng)滿足的信息標(biāo)準(zhǔn)；確保需求完整、連續(xù)、清楚、可驗(yàn)證、可修改、可跟蹤審計(jì)師在SDLC需求分析階段需要關(guān)注：業(yè)務(wù)部門的人員積極參與到需求調(diào)研中；安全控制是否提出（審計(jì)師作為用戶，提出嵌入式在線審計(jì)模塊是否提出）SDLC方法適用于一個(gè)需求穩(wěn)定、定義準(zhǔn)確的項(xiàng)目，并且在開(kāi)發(fā)工作早期建立總體的系統(tǒng)架構(gòu)軟件購(gòu)買階段：、不修改，只配置、進(jìn)行部分定制開(kāi)發(fā)、完全重新開(kāi)發(fā)（絕對(duì)不允許，ERP軟件代表行業(yè)的最佳實(shí)踐）迭代法：業(yè)務(wù)需求被迭代開(kāi)發(fā)和測(cè)試直至整個(gè)應(yīng)用系統(tǒng)被設(shè)計(jì)、建立和測(cè)試。適合于WEB應(yīng)用開(kāi)發(fā)需求定義階段決定軟件是自行開(kāi)發(fā)還是購(gòu)買軟件包軟件征求建議書(shū)中應(yīng)該包括（重點(diǎn)）：、供應(yīng)商的財(cái)務(wù)穩(wěn)定性；、源代碼的可用性、提供此類產(chǎn)品的時(shí)間；、先做UAT測(cè)試、簽訂合同之前需要本公司法律顧問(wèn)核準(zhǔn)*UAT測(cè)試后，實(shí)施前一定要求最后軟件進(jìn)行打包，不允許進(jìn)行最后一分鐘修改 。自行開(kāi)發(fā)的設(shè)計(jì)階段==購(gòu)買軟件包的選擇階段自行開(kāi)發(fā)的開(kāi)發(fā)階段==購(gòu)買軟件包的配置階段實(shí)施階段在最終用戶驗(yàn)收測(cè)試完成、用戶簽署正式文件后進(jìn)行組織應(yīng)當(dāng)按照ERP的要求首先要轉(zhuǎn)變?cè)械墓芾砝砟?、策略和?shí)踐方法，并按業(yè)務(wù)需求對(duì)ERP進(jìn)行定制，才能有效提高信息技術(shù)能力，以支持組織業(yè)務(wù)目標(biāo)的實(shí)現(xiàn)。進(jìn)行ERP的風(fēng)險(xiǎn)評(píng)估是組織高級(jí)管理層的責(zé)任一旦決定推進(jìn)一個(gè)項(xiàng)目，首先應(yīng)該做一個(gè)分析來(lái)清晰地定義需求以及識(shí)別與這個(gè)需求相關(guān)的備選方案，這個(gè)分析稱為可行性研究*信息資源包括：人員、應(yīng)用系統(tǒng)、技術(shù)、設(shè)施和數(shù)據(jù)，通過(guò)一系列 IT過(guò)程加以管理可行性研究報(bào)告首先由項(xiàng)目負(fù)責(zé)人審查（審查內(nèi)容是否可靠），再上報(bào)上級(jí)主管審閱（估價(jià)項(xiàng)目的地位）。從可行性研究應(yīng)當(dāng)?shù)贸觥靶谢虿恍小钡臎Q斷與可行性報(bào)告聯(lián)系緊密的是影響評(píng)估，研究當(dāng)前項(xiàng)目對(duì)其他項(xiàng)目和資源的潛在影響。評(píng)估結(jié)果需要列出一具體行動(dòng)方案的好處和壞處。需求定義即在可行性研究后對(duì)選擇的業(yè)務(wù)系統(tǒng)識(shí)別和明確業(yè)務(wù)需求。需求包括：描述系統(tǒng)應(yīng)該做的，用戶如何與系統(tǒng)交互，系統(tǒng)運(yùn)行的條件，系統(tǒng)應(yīng)該滿足的信息標(biāo)準(zhǔn)。*信息標(biāo)準(zhǔn)包括：系統(tǒng)的效力、效率、機(jī)密性、可用性、合規(guī)性和可靠性 。最終用戶在這階段詳述他們對(duì)信息資源的要求在需求定義階段，一個(gè)系統(tǒng)的初步設(shè)計(jì)呈交用戶管理層審閱，修改，批準(zhǔn)和支持。創(chuàng)建項(xiàng)目計(jì)劃用于開(kāi)發(fā)、測(cè)試和實(shí)施系統(tǒng)。在需求分析階段，所有相關(guān)的管理人員與用戶都應(yīng)積極參與到需求定義中來(lái)。實(shí)體關(guān)系圖（ERD）描述的是系統(tǒng)數(shù)據(jù)和這些數(shù)據(jù)是如何交互的，可作為需求分析工具實(shí)體關(guān)系圖（ERD）的基本元素是實(shí)體和關(guān)系信息系統(tǒng)審計(jì)師在需求分析階段要確定：應(yīng)用系統(tǒng)是否定義了充分的安全需求以保證系統(tǒng)的機(jī)密性、完整性和可用性；是否定義了完備的審計(jì)蹤跡作為系統(tǒng)的必要組成部分，審計(jì)蹤跡是審計(jì)師未來(lái)進(jìn)行跟進(jìn)的重要依據(jù)。如果決定購(gòu)買現(xiàn)成的商品化軟件包，那么用戶也要積極參與到軟件產(chǎn)品的評(píng)估和選擇過(guò)程中。組織應(yīng)當(dāng)建立一個(gè)由技術(shù)人員和主要業(yè)務(wù)人員組成的項(xiàng)目小組，由項(xiàng)目小組制定征求建議書(shū)（RFP）或邀標(biāo)書(shū)（ITT），并發(fā)送給軟件供應(yīng)商，讓軟件供應(yīng)商根據(jù)組織的需求，在考慮技術(shù)先進(jìn)、成本最優(yōu)的前提下，提供最佳解決方案。征求建議書(shū)（RFP）的內(nèi)容：產(chǎn)品與系統(tǒng)需求客戶參考資料（成功案例）供應(yīng)商的生存能力/財(cái)務(wù)穩(wěn)定性完整可靠的文檔供應(yīng)商的服務(wù)支持源代碼的可用性提供此類產(chǎn)品的年頭最近對(duì)產(chǎn)品的更新計(jì)劃當(dāng)前使用改產(chǎn)品的用戶數(shù)及列表對(duì)產(chǎn)品的接受測(cè)試（在正式購(gòu)買前必須要做）征求建議書(shū)（RFP）—需要供應(yīng)商提供解決方案和相關(guān)的支持與維護(hù)服務(wù)邀標(biāo)書(shū)（ITT）—已經(jīng)知道需要購(gòu)買什么樣的產(chǎn)品和服務(wù)在正式的征求建議書(shū)（RFP）前，要先起草信息征求書(shū)（RFI）文件，送給軟件供應(yīng)商，請(qǐng)其就組織的特定需求，提供產(chǎn)品與服務(wù)方面的初步咨詢意見(jiàn)與建議。組織根據(jù)各個(gè)供應(yīng)商提供的信息，制定出正式的征求建議書(shū)?？疾炱渌嗤愋偷慕M織使用這種軟件包的情況，重點(diǎn)在于：、可靠性—供應(yīng)商的產(chǎn)品遞交是否可靠、承諾的服務(wù)—如果產(chǎn)品出現(xiàn)問(wèn)題，供應(yīng)商的服務(wù)響應(yīng)是否及時(shí)、為產(chǎn)品提供文檔及培訓(xùn)的承諾—客戶滿意度如何信息系統(tǒng)審計(jì)師要參與到軟件獲取過(guò)程中，保證組織與供應(yīng)商達(dá)成任何協(xié)議前，已充分考慮了安全控制的需要，否則很難保證系統(tǒng)要處理的信息的完整性；設(shè)計(jì)階段必須制定計(jì)劃：測(cè)試計(jì)劃、數(shù)據(jù)轉(zhuǎn)換計(jì)劃商品化軟件包相關(guān)的風(fēng)險(xiǎn)：不完備的審計(jì)蹤跡、口令控制和應(yīng)用系統(tǒng)的整體安全由系統(tǒng)分析師進(jìn)行軟件架構(gòu)設(shè)計(jì)來(lái)描述系統(tǒng)藍(lán)圖，進(jìn)而詳細(xì)分解系統(tǒng)各個(gè)部分和要素在軟件設(shè)計(jì)過(guò)程中，最好不要讓用戶參與；但是設(shè)計(jì)人員應(yīng)當(dāng)向用戶解釋軟件結(jié)構(gòu)是如何滿足用戶的業(yè)務(wù)需要的信息系統(tǒng)審計(jì)師主要關(guān)注系統(tǒng)設(shè)計(jì)對(duì)控制的影響關(guān)鍵的設(shè)計(jì)階段：、開(kāi)發(fā)系統(tǒng)流程圖和實(shí)體關(guān)系圖模型，說(shuō)明信息在系統(tǒng)中如何流動(dòng)、確定是否使用結(jié)構(gòu)化的設(shè)計(jì)方法，通過(guò)一系列數(shù)據(jù)或流程圖自頂向下建立各種關(guān)系、描述輸入輸出（原型開(kāi)發(fā)工具中，是最重要的設(shè)計(jì)內(nèi)容）、確定軟件的過(guò)程步驟和計(jì)算規(guī)則，滿足功能需求、確定數(shù)據(jù)文件或數(shù)據(jù)庫(kù)文件設(shè)計(jì)、為各種類型的需求或已定義的信息標(biāo)準(zhǔn)，建立程序規(guī)格說(shuō)明書(shū)7、制定各種類型的測(cè)試計(jì)劃：?jiǎn)卧獪y(cè)試（程序測(cè)試）、子系統(tǒng)測(cè)試（模塊測(cè)試）、集成測(cè)試（系統(tǒng)測(cè)試）、測(cè)試與其他程序的接口、測(cè)試系統(tǒng)裝載和初始化文件、壓力測(cè)試、安全測(cè)試、數(shù)據(jù)備份與恢復(fù)測(cè)試、制定數(shù)據(jù)轉(zhuǎn)化計(jì)劃，把數(shù)據(jù)從老系統(tǒng)轉(zhuǎn)換到新系統(tǒng)軟件配置管理引入基線（Baseline）概念，軟件設(shè)計(jì)階段代表了軟件基線管理過(guò)程中的一個(gè)優(yōu)化點(diǎn)，基線的概念意味著一個(gè)設(shè)計(jì)階段的一個(gè)“凍結(jié)”點(diǎn)。一旦為軟件開(kāi)發(fā)過(guò)程建立了基線，就要引入配置管理的過(guò)程來(lái)管理對(duì)軟件的修改，以協(xié)調(diào)和控制整個(gè)系統(tǒng)。如果控制不到位就會(huì)產(chǎn)生范圍蔓延?；€標(biāo)志軟件開(kāi)發(fā)過(guò)程的里程碑，任何一個(gè)軟件配置項(xiàng)（如設(shè)計(jì)說(shuō)明書(shū)、測(cè)試計(jì)劃等），一旦形成文檔并審核通過(guò)，即為一個(gè)基線?；€標(biāo)志開(kāi)發(fā)過(guò)程中一個(gè)階段的結(jié)束。對(duì)于已稱為基線的軟件配置項(xiàng)，雖然可以修改，但必須按照特殊、正式的變更管理過(guò)程進(jìn)行評(píng)估，在確認(rèn)風(fēng)險(xiǎn)與成本的前提下，再進(jìn)行修改。詳細(xì)設(shè)計(jì)完成后，在得到用戶同意和建立軟件基線的情況下，就可以把設(shè)計(jì)方案交給系統(tǒng)開(kāi)發(fā)人員進(jìn)行編程設(shè)計(jì)階段，信息系統(tǒng)審計(jì)師應(yīng)審核在系統(tǒng)規(guī)格說(shuō)明書(shū)、測(cè)試計(jì)劃中建立了完備的安全控制，是否將連續(xù)在線審計(jì)功能集成到系統(tǒng)中在軟件設(shè)計(jì)階段的關(guān)鍵文檔包括：系統(tǒng)規(guī)格說(shuō)明書(shū)、子系統(tǒng)規(guī)格說(shuō)明書(shū)、程序規(guī)格說(shuō)明書(shū)、數(shù)據(jù)庫(kù)系統(tǒng)規(guī)格說(shuō)明書(shū)、測(cè)試計(jì)劃和正式的軟件變更控制程序軟件開(kāi)發(fā)的目的是通過(guò)編程實(shí)現(xiàn)開(kāi)發(fā)者在系統(tǒng)分析和系統(tǒng)設(shè)計(jì)中提出的管理方法和處理構(gòu)想開(kāi)發(fā)階段的編程責(zé)任主要在編程人員和設(shè)計(jì)系統(tǒng)的分析員身上需要開(kāi)發(fā)數(shù)據(jù)遷移計(jì)劃、用戶遷移計(jì)劃集成開(kāi)發(fā)環(huán)境（IDE），容易受非授權(quán)訪問(wèn)出現(xiàn)錯(cuò)誤以及版本無(wú)法控制；因此需通過(guò)訪問(wèn)控制軟件來(lái)控制風(fēng)險(xiǎn)編程標(biāo)準(zhǔn)是一項(xiàng)基本控制，是系統(tǒng)開(kāi)發(fā)過(guò)程中編程團(tuán)隊(duì)成員之間、編程團(tuán)隊(duì)與用戶之間交流的方法聯(lián)網(wǎng)的集成開(kāi)發(fā)環(huán)境應(yīng)當(dāng)通過(guò)訪問(wèn)控制軟件來(lái)控制非授權(quán)訪問(wèn)之類的風(fēng)險(xiǎn)調(diào)試工具就是協(xié)助編程人員在開(kāi)發(fā)階段發(fā)現(xiàn)錯(cuò)誤、修改代碼的軟件，一般分為三種類型：邏輯路徑監(jiān)測(cè)、內(nèi)存轉(zhuǎn)儲(chǔ)、輸出分析輸出分析一般通過(guò)比較預(yù)期的結(jié)果與實(shí)際結(jié)果而實(shí)現(xiàn)檢查程序運(yùn)行的輸出結(jié)果的精確性軟件測(cè)試是根據(jù)軟件開(kāi)發(fā)各階段的規(guī)格說(shuō)明和程序的內(nèi)部結(jié)構(gòu)而精心設(shè)計(jì)的一批測(cè)試用例（即輸入數(shù)據(jù)及其預(yù)期的輸出結(jié)果），并利用這些測(cè)試用例去運(yùn)行程序，以發(fā)現(xiàn)程序錯(cuò)誤的過(guò)程在測(cè)試過(guò)程種，信息系統(tǒng)審計(jì)師扮演的角色是預(yù)防性和發(fā)現(xiàn)性的軟件測(cè)試方法（一般用自底向上）：、自底向上—在所有程序完成前就可以進(jìn)行測(cè)試；對(duì)關(guān)鍵模塊的錯(cuò)誤可以較早發(fā)現(xiàn)、自頂向下—可以較早對(duì)主要功能和處理過(guò)程進(jìn)行測(cè)試，接口錯(cuò)誤可以較早測(cè)試出來(lái)，增強(qiáng)用戶對(duì)系統(tǒng)的信心測(cè)試分類：、單元測(cè)試：針對(duì)程序模塊，進(jìn)行正確性檢驗(yàn)的測(cè)試、接口測(cè)試/集成測(cè)試：一種軟件或硬件測(cè)試，評(píng)估兩個(gè)或多個(gè)模塊之間的連接，而這些模塊之間有信息傳遞。在系統(tǒng)之間傳遞數(shù)據(jù)時(shí)測(cè)試確認(rèn)和驗(yàn)證單個(gè)系統(tǒng)系統(tǒng)的應(yīng)用程序功能、系統(tǒng)測(cè)試：對(duì)整個(gè)軟件進(jìn)行測(cè)試；目的在于通過(guò)與系統(tǒng)需求定義作比較，發(fā)現(xiàn)軟件與系統(tǒng)定義不符合或與之矛盾的地方、最終接受測(cè)試：當(dāng)開(kāi)發(fā)與測(cè)試人員完成所有測(cè)試，準(zhǔn)備交付軟件產(chǎn)品時(shí)，就應(yīng)該開(kāi)始系統(tǒng)的用戶接受測(cè)試。系統(tǒng)測(cè)試的測(cè)試用例應(yīng)根據(jù)需求分析規(guī)格說(shuō)明來(lái)設(shè)計(jì)，并在實(shí)際使用環(huán)境下運(yùn)行用戶接受測(cè)試以用戶為主，主要有兩類人員：使用軟件的最終用戶、質(zhì)量保證人員UAT測(cè)試主要測(cè)試業(yè)務(wù)功能。QAT需要測(cè)試運(yùn)行功能用戶接受測(cè)試（UAT）一般使用用戶界面輸入測(cè)試數(shù)據(jù)，分析測(cè)試的輸出結(jié)果，一般使用生產(chǎn)中的實(shí)際數(shù)據(jù)進(jìn)行測(cè)試，以確保用戶要求的功能得到實(shí)現(xiàn)質(zhì)量保證測(cè)試（QAT）對(duì)軟件的可移植性、兼容性、可維護(hù)性、錯(cuò)誤的恢復(fù)功能進(jìn)行技術(shù)性確認(rèn)系統(tǒng)測(cè)試包括：、恢復(fù)測(cè)試：檢查系統(tǒng)從硬件或軟件故障中恢復(fù)的能力、安全測(cè)試：確保新系統(tǒng)內(nèi)置了充分的訪問(wèn)控制、壓力測(cè)試/容量測(cè)試：對(duì)大量數(shù)據(jù)的處理，評(píng)估系統(tǒng)在處理高峰時(shí)的性能、性能測(cè)試：利用通用測(cè)試標(biāo)準(zhǔn)來(lái)比較系統(tǒng)性能UAT測(cè)試應(yīng)該在單獨(dú)的測(cè)試環(huán)境，不能與生產(chǎn)與開(kāi)發(fā)環(huán)境在一起用戶接受測(cè)試（UAT）應(yīng)該在源代碼和可執(zhí)行代碼都能得到很好保護(hù)的安全測(cè)試環(huán)境，有助于避免非授權(quán)的版本或最后一分鐘還在修改的系統(tǒng)沒(méi)有經(jīng)過(guò)標(biāo)準(zhǔn)的系統(tǒng)維護(hù)過(guò)程就直接引入正式系統(tǒng)α測(cè)試是由一個(gè)用戶在開(kāi)發(fā)環(huán)境下進(jìn)行的測(cè)試，是在受控環(huán)境下的測(cè)試。目的是評(píng)價(jià)軟件產(chǎn)品的FURPS（功能、可使用性、可靠性、性能和支持）；在編碼結(jié)束之時(shí)就可以開(kāi)始β測(cè)試是由多個(gè)用戶在一個(gè)或多個(gè)用戶的實(shí)際環(huán)境下進(jìn)行的測(cè)試，非受控環(huán)境下的測(cè)試，主要目的是測(cè)試可支持性；是衡量產(chǎn)品的FURPS（功能、可使用性、可靠性、性能和支持）β測(cè)試中所有的產(chǎn)品手冊(cè)文本也應(yīng)該完全定稿只有當(dāng)α測(cè)試達(dá)到一定的可靠程序時(shí)，才能開(kāi)始β測(cè)試模擬測(cè)試只是對(duì)系統(tǒng)進(jìn)行有限評(píng)估的方法*白盒測(cè)試：把測(cè)試對(duì)象看作打開(kāi)的盒子，允許測(cè)試人員利用程序內(nèi)部邏輯結(jié)構(gòu)及有關(guān)信息，設(shè)計(jì)或選擇測(cè)試用例，對(duì)程序所有邏輯路徑進(jìn)行測(cè)試。通過(guò)在不同點(diǎn)檢查程序狀態(tài)，確定實(shí)際的狀態(tài)是否與預(yù)期的狀態(tài)一致黑盒測(cè)試：在軟件接口處進(jìn)行測(cè)試，證實(shí)每個(gè)實(shí)現(xiàn)的功能是否符合要求。必須在所有可能的輸入條件和輸出條件中確定測(cè)試數(shù)據(jù)，來(lái)檢查程序是否都能產(chǎn)生正確的輸出，一般用于UAT測(cè)試。功能/確認(rèn)測(cè)試：驗(yàn)證軟件的有效性，驗(yàn)證軟件功能和性能及其它特性是否與用戶的要求一致回歸測(cè)試：對(duì)測(cè)試計(jì)劃或測(cè)試場(chǎng)景的某些內(nèi)容重新進(jìn)行測(cè)試，目的是為了保證最近對(duì)軟件所做的變更和修改沒(méi)有引入新的錯(cuò)誤?；貧w測(cè)試中所用的數(shù)據(jù)要與以前的測(cè)試數(shù)據(jù)一致平行測(cè)試：把一套測(cè)試數(shù)據(jù)同時(shí)輸入到被測(cè)試系統(tǒng)（新系統(tǒng)）和對(duì)比系統(tǒng)（原系統(tǒng)）中去運(yùn)行，比較兩個(gè)系統(tǒng)的輸出結(jié)果，以判斷被測(cè)試系統(tǒng)的正確性社交性測(cè)試：證實(shí)新系統(tǒng)在目標(biāo)環(huán)境中運(yùn)行時(shí)，不會(huì)給其他系統(tǒng)帶來(lái)負(fù)面影響（包括平臺(tái)、接口、桌面以及操作系統(tǒng)等環(huán)境）新信息系統(tǒng)實(shí)施前：程序已經(jīng)被測(cè)試優(yōu)化、存在程序流程和生產(chǎn)計(jì)劃、初始數(shù)據(jù)已經(jīng)成功的轉(zhuǎn)換并導(dǎo)入到新的系統(tǒng)中、用戶已經(jīng)制定了運(yùn)營(yíng)流程并完成了全員培訓(xùn)、已經(jīng)確定了系統(tǒng)投入運(yùn)營(yíng)的日期和新舊系統(tǒng)切換的日期實(shí)施計(jì)劃的階段：階段一、制定所需的支持結(jié)構(gòu)差距分析——定義當(dāng)前支持組織和未來(lái)所需組織之間的差距角色定義——對(duì)項(xiàng)目的各個(gè)角色進(jìn)行明確的定義階段二、建立支持功能一旦項(xiàng)目所交付的新系統(tǒng)完成，準(zhǔn)備上線運(yùn)行時(shí)，還需要建立有效的支持結(jié)構(gòu)包括：工作崗位、人員角色、職責(zé)、技能培訓(xùn)、工作分配。要對(duì)實(shí)施的各個(gè)階段（從老系統(tǒng)到新系統(tǒng)的構(gòu)建、集成、移植和轉(zhuǎn)換）進(jìn)行有效管理實(shí)施計(jì)劃（知識(shí)轉(zhuǎn)移計(jì)劃）——應(yīng)當(dāng)按照漸變式或接力棒方式進(jìn)行，這是知識(shí)轉(zhuǎn)移和職責(zé)轉(zhuǎn)移的最佳方式培訓(xùn)計(jì)劃——定義了角色與職責(zé)后，需要用矩陣圖方式記錄，便于相關(guān)人員清晰理解。制定培訓(xùn)計(jì)劃應(yīng)明確：培訓(xùn)內(nèi)容、日程、持續(xù)時(shí)間、培訓(xùn)方式（現(xiàn)場(chǎng)或網(wǎng)上）、先期對(duì)培訓(xùn)者進(jìn)行培訓(xùn)培訓(xùn)目標(biāo)是保證終端用戶在系統(tǒng)運(yùn)行過(guò)程具有必要的使用能力終端用戶培訓(xùn)中最重要因素就是確保在開(kāi)發(fā)階段的早期就考慮培訓(xùn)的問(wèn)題數(shù)據(jù)轉(zhuǎn)換的目標(biāo)是將當(dāng)前的數(shù)據(jù)轉(zhuǎn)換成需要的格式、編碼和結(jié)構(gòu)，同時(shí)要保證數(shù)據(jù)的完整性和可用性數(shù)據(jù)轉(zhuǎn)換過(guò)程必須提供一些方法，如審計(jì)痕跡和日志，以允許對(duì)轉(zhuǎn)換數(shù)據(jù)進(jìn)行精確性和完整性驗(yàn)證（可以手工也可以通過(guò)系統(tǒng)工具自動(dòng)完成）數(shù)據(jù)轉(zhuǎn)換步驟：、確認(rèn)哪些數(shù)據(jù)需要程序進(jìn)行轉(zhuǎn)換，哪些數(shù)據(jù)使用手工轉(zhuǎn)換；、轉(zhuǎn)換前進(jìn)行必要的數(shù)據(jù)清理、識(shí)別用于驗(yàn)證數(shù)據(jù)轉(zhuǎn)換是否成功的方法（自動(dòng)文件比較、比較記錄數(shù)、控制總數(shù)、記帳平衡數(shù)和抽樣選擇）、建立數(shù)據(jù)轉(zhuǎn)換的接受標(biāo)準(zhǔn)、確定數(shù)據(jù)轉(zhuǎn)換項(xiàng)目任務(wù)的先后順序、設(shè)計(jì)用于記錄轉(zhuǎn)換的審計(jì)追蹤報(bào)告、設(shè)計(jì)例外報(bào)告記錄沒(méi)有成功轉(zhuǎn)換的數(shù)據(jù)項(xiàng)、明確確認(rèn)，為每一個(gè)轉(zhuǎn)換步驟簽字和接受最終轉(zhuǎn)換成功的責(zé)任人、開(kāi)發(fā)和測(cè)試數(shù)據(jù)轉(zhuǎn)換程序，包括功能和效率、進(jìn)行一次或多次數(shù)據(jù)演練，讓相關(guān)人員熟悉整個(gè)項(xiàng)目的各個(gè)步驟，各自的責(zé)任，并且使用真實(shí)的數(shù)據(jù)測(cè)試轉(zhuǎn)換流程、對(duì)外包流程，需要簽署包括保密在內(nèi)的合適的協(xié)議、在實(shí)際數(shù)據(jù)轉(zhuǎn)換時(shí)，所有必要的人員要到場(chǎng)，或者至少能聯(lián)系上成功的數(shù)據(jù)轉(zhuǎn)換時(shí)系統(tǒng)按時(shí)、符合預(yù)算和按質(zhì)上線的前提數(shù)據(jù)轉(zhuǎn)換的備份：舊系統(tǒng)最后一個(gè)拷貝/新系統(tǒng)轉(zhuǎn)換過(guò)來(lái)后的第一個(gè)拷貝，都需要永久保存數(shù)據(jù)轉(zhuǎn)換的風(fēng)險(xiǎn)：、正常運(yùn)行的中斷、破壞數(shù)據(jù)安全和數(shù)據(jù)保密、在系統(tǒng)遷移過(guò)程中，數(shù)據(jù)不一致和不完整企業(yè)配置庫(kù)可以對(duì)組織中的系統(tǒng)重組過(guò)程和數(shù)據(jù)移植過(guò)程提供一個(gè)全景圖通過(guò)模塊分析，界定項(xiàng)目實(shí)施過(guò)程中的功能模塊與數(shù)據(jù)實(shí)體的范圍，基于這些信息和對(duì)業(yè)務(wù)需求的分析，對(duì)實(shí)施項(xiàng)目的計(jì)劃進(jìn)行精細(xì)調(diào)整分階段部署應(yīng)用系統(tǒng)，以最小化新系統(tǒng)實(shí)施對(duì)終端用戶的影響，通過(guò)實(shí)施失敗后的回退操作減少負(fù)面影響，降低風(fēng)險(xiǎn)為新技術(shù)架構(gòu)設(shè)計(jì)的數(shù)據(jù)重定向器要符合面向服務(wù)的架構(gòu)要求，使新系統(tǒng)在運(yùn)行過(guò)程中能對(duì)遺留系統(tǒng)的數(shù)據(jù)進(jìn)行訪問(wèn)數(shù)據(jù)轉(zhuǎn)換組件把遺留數(shù)據(jù)模型轉(zhuǎn)換到新數(shù)據(jù)模型，這些組件有三種：、下載組件——從遺留系統(tǒng)中下載數(shù)據(jù)、傳輸組件——從遺留系統(tǒng)向新系統(tǒng)傳輸數(shù)據(jù)、上載組件——向新系統(tǒng)上載數(shù)據(jù)組織一旦決定購(gòu)買軟件包，就要根據(jù)系統(tǒng)所需的數(shù)據(jù)庫(kù)及供應(yīng)商提供的轉(zhuǎn)換工具，盡快設(shè)計(jì)數(shù)據(jù)的轉(zhuǎn)換方案。一旦新系統(tǒng)不能正常運(yùn)行，移植失敗后，需要把已轉(zhuǎn)換得到的新數(shù)據(jù)結(jié)構(gòu)，通